Respuesta a incidentes y forense

📐 Fundamento

NIST SP 800-61 define 6 fases del ciclo de incidentes:

       ┌─────────────────────────────┐
       │                             ▼
[Preparación] → [Detección] → [Contención] → [Erradicación] → [Recuperación] → [Lecciones aprendidas]
                                                                                          │
       ▲────────────────────────────────────────────────────────────────────────────────┘

1. Preparación (antes del incidente):

• Plan de respuesta a incidentes documentado.
• Equipo CSIRT (Computer Security Incident Response Team) entrenado.
• Herramientas instaladas y probadas (forense, comunicación segura).
• Contactos de proveedores, autoridades, asesores legales.
• Tabletop exercises: simular incidentes en mesa redonda.

2. Detección y análisis:

¿Cómo sabés que hubo un incidente?

• Alertas de SIEM (Security Information and Event Management).
• Reportes de usuarios o clientes.
• Detección por terceros (banco, proveedor de seguridad).
• Anomalías en métricas (tráfico inusual, latencia).

Triaje:

• ¿Es un falso positivo o real?
• Severidad: ¿alta, media, baja?
• Alcance: ¿cuántos sistemas afectados?

3. Contención:

Detener el daño sin destruir evidencia.

• Corto plazo: aislar sistemas comprometidos (desconectar de la red).
• Largo plazo: parches, cambios de credenciales, segmentación.

4. Erradicación:

Eliminar la causa raíz: malware, accesos no autorizados, vulnerabilidades.

• Reinstalar desde cero (no "limpiar" — los rootkits modernos son difíciles de detectar).
• Cambiar todas las credenciales potencialmente comprometidas.
• Aplicar parches faltantes.

5. Recuperación:

Restaurar operaciones normales:

• Restaurar desde backups verificados (asegurarse de que no estén infectados).
• Monitoreo intensivo durante semanas para detectar persistencia.
• Comunicación con stakeholders.

6. Lecciones aprendidas:

Postmortem dentro de las 2 semanas:

• ¿Qué pasó?
• ¿Cómo lo detectamos?
• ¿Cuánto tardamos en contenerlo?
• ¿Qué pudimos hacer mejor?
• Cambios concretos para prevenir reincidencia.

📐 Fundamento

Qué loggear (mínimo):

• Autenticación: éxitos y fallos, con IP y user agent.
• Autorización: accesos denegados, escalación de privilegios.
• Cambios: configuración, usuarios, permisos.
• Errores 4xx/5xx en endpoints sensibles.
• Operaciones críticas: pagos, eliminación de datos, exportación masiva.

Qué NO loggear nunca:

• Contraseñas (ni siquiera intentos fallidos con la contraseña).
• Tokens completos (loggear solo prefijo o hash).
• Números de tarjeta, CVV.
• Datos personales sensibles innecesariamente (GDPR, LGPD).

Ejemplo de log estructurado (JSON):

import logging
import json
from pythonjsonlogger import jsonlogger

logger = logging.getLogger('seguridad')
handler = logging.StreamHandler()
handler.setFormatter(jsonlogger.JsonFormatter())
logger.addHandler(handler)

logger.warning("Intento de login fallido", extra={
    'evento': 'AUTH_FAIL',
    'usuario': email,
    'ip': request.remote_addr,
    'user_agent': request.user_agent.string,
    'timestamp': datetime.utcnow().isoformat()
})

Stack ELK (Elasticsearch + Logstash + Kibana) o equivalentes:

[Apps] → [Filebeat] → [Logstash] → [Elasticsearch] → [Kibana]
                                          ↑
                              [Alertmanager / SIEM]

Reglas de detección:

SI 5 logins fallidos del mismo usuario en 5 minutos
   → ALERTA: posible brute-force

SI un usuario accede desde IPs en 2 países diferentes en 1 hora
   → ALERTA: cuenta posiblemente comprometida

SI hay > 100 requests a /api/admin/* desde la misma IP en 10s
   → ALERTA: posible scan o ataque

SI un endpoint que normalmente devuelve 200 empieza a devolver 500
   en > 10% de requests
   → ALERTA: posible ataque o falla

SOAR (Security Orchestration, Automation and Response): automatizar la respuesta a alertas (ej: bloquear IP automáticamente, deshabilitar usuario).

📐 Fundamento

Cadena de custodia: la evidencia debe ser inalterable y rastreable. En investigaciones legales, la cadena rota = evidencia inadmisible.

Pasos del análisis forense:

1. Preservar: snapshot del disco/RAM antes de modificar nada.
2. Adquirir: copia bit a bit (dd, FTK Imager).
3. Analizar: sobre la copia, nunca sobre el original.
4. Documentar: cada paso, hora, hash de los archivos.

Herramientas:

• Autopsy / Sleuth Kit — análisis de discos.
• Volatility — análisis de memoria RAM.
• Wireshark — análisis de capturas de red.
• YARA — pattern matching para identificar malware.

Comandos útiles para investigación inicial:

# Procesos sospechosos
ps auxf | grep -v -E "kernel|systemd"
top -c

# Conexiones de red activas
ss -tunap
netstat -anp

# Usuarios logueados
who
last

# Archivos modificados recientemente
find / -mtime -1 -type f 2>/dev/null

# Archivos con SUID inusuales
find / -perm -4000 -type f 2>/dev/null

# Logs sospechosos
journalctl --since "1 hour ago" | grep -iE "fail|error|deny"
grep "Failed password" /var/log/auth.log

# Hash de archivo (para verificar integridad o reportar a VirusTotal)
sha256sum archivo_sospechoso

# Buscar texto específico en archivos
grep -r "atacante" /var/www/

# Capturar tráfico para análisis
tcpdump -i eth0 -w captura.pcap

Indicators of Compromise (IoC):

• Hashes de malware conocido.
• IPs maliciosas (publicadas por ThreatIntel feeds).
• Dominios de C2 (Command & Control).
• Patrones de URLs sospechosas.

# Verificar hash de archivo en VirusTotal
import requests

API_KEY = os.environ['VT_API_KEY']
hash_archivo = "abc123..."

response = requests.get(
    f"https://www.virustotal.com/api/v3/files/{hash_archivo}",
    headers={'x-apikey': API_KEY}
)
data = response.json()
print(f"Detectado por: {data['data']['attributes']['last_analysis_stats']['malicious']} engines")

📐 Fundamento

Red Team (atacantes éticos):

• Simulan ataques reales para evaluar defensas.
• Pentesting (Penetration Testing): alcance limitado, busca vulnerabilidades específicas.
• Red team engagement: alcance amplio, simula APT (Advanced Persistent Threat) durante semanas/meses.

Metodología (PTES):

1. Pre-engagement (definir scope, contrato).
2. Intelligence gathering (OSINT).
3. Threat modeling.
4. Vulnerability analysis.
5. Exploitation.
6. Post-exploitation (escalación, persistencia).
7. Reporting.

Herramientas:

Blue Team (defensores):

• Monitoreo (SOC — Security Operations Center).
• Detección y respuesta.
• Hardening, patching, mejora continua.
• Threat hunting (búsqueda proactiva de amenazas).

Purple Team: colaboración entre Red y Blue. El Red ataca, el Blue defiende, comparten conocimiento para mejorar ambos.

Career paths en ciberseguridad:

• SOC Analyst — Tier 1 (triaje), Tier 2 (investigación), Tier 3 (incident response).
• Pentester / Red Teamer — atacante ético.
• Security Engineer — diseño e implementación de controles.
• Security Architect — diseño de sistemas seguros desde cero.
• CISO (Chief Information Security Officer) — liderazgo ejecutivo.
• DFIR (Digital Forensics & Incident Response) — especialista en respuesta.
• AppSec — seguridad de aplicaciones.
• Cloud Security — específico de AWS/GCP/Azure.

Certificaciones populares: