Con estados nacionales, hacktivistas y otros actores fraudulentos que aumentan constantemente el ritmo y la complejidad de los ciberataques, muchas organizaciones cruzan un umbral cuando descubren que ya no pueden monitorear, detectar y responder adecuadamente a la amenaza. Finalmente, crean una forma centralizada para que los equipos de seguridad compartan información y colaboren en la defensa y la respuesta, generalmente denominados Centro de Operaciones de Seguridad (Security Operations Center, SOC).
La centralización de la seguridad acelera la capacidad de una organización para detectar y responder a ciberataques, pero la creación de un SOC no sucede sin algo de pensamiento y esfuerzo.
Para escalar las operaciones de seguridad y crear un SOC ágil de manera rápida y eficiente, Endpoint habló con un trío de expertos.
“Los SOC no son llave en mano”, dice Wim Remes, director ejecutivo y fundador de la consultora Wire Security. “No se trata de comprar un montón de tecnología, poner un montón de personas en los teclados y luego esperar que el SOC funcione”, dice. “Se trata de crear primero las capacidades esenciales, luego mejorar y expandir cada vez más las capacidades del SOC con el tiempo”.
Establezca sus objetivos
Los SOC no siempre tienen los mismos objetivos iniciales iniciales, dice Gal Shpantzer, cofundador de la consultoría virtual de CISO Security Outliers. Para saber a qué apunta una organización, recomienda hacer algunas preguntas:
- ¿Quiénes son los clientes iniciales del SOC?
- ¿El objetivo es proporcionar tableros de control a los ejecutivos, o cumplimiento o respuesta a incidentes?
- ¿Cuáles son las expectativas en torno al monitoreo, las alertas, el análisis y la respuesta?
Responder este tipo de preguntas puede dejarse mejor a la sabiduría colectiva de la organización en general. Es por eso que las entrevistas con múltiples partes interesadas pueden ayudar a descubrir los objetivos.
“No se trata de... poner un montón de personas en los teclados y luego esperar que el SOC funcione”.Wim Remes, director ejecutivo y fundador de Wire Security
“Los arquitectos e ingenieros de seguridad deben entrevistar a las diversas unidades de negocios para identificar cómo desean interactuar y comunicarse con los equipos de operaciones de seguridad”, dice Michael Lyborg, vicepresidente sénior de seguridad global y TI empresarial de Swimlane, que asesora a las empresas sobre la automatización de las operaciones de seguridad.
“Luego, trabaje hacia atrás reconociendo los resultados deseados, los objetivos de experiencia del usuario, las acciones de respuesta y los árboles de notificación”.
Realizar un análisis de brechas
Es posible que su organización ya tenga algunas de las capacidades necesarias internamente para cumplir con sus objetivos, dice Remes. El siguiente paso es identificar las áreas donde su organización es sólida y las áreas que necesitan mejora.
Quizás la organización ya sea efectiva en la gestión de vulnerabilidades y tenga un tablero de control de seguridad eficiente que proporcione información sobre eventos continuos. Por otro lado, puede carecer de capacidades de búsqueda de amenazas y respuesta a incidentes. Una vez que identifique las brechas, puede crear un plan para abordarlas interna o externamente.
Obtenga el talento adecuado a bordo
Algunas de las capacidades esenciales de un SOC incluyen monitoreo y pruebas de seguridad, priorización de alertas, respuesta a incidentes, administración de seguridad, corrección, búsqueda de amenazas, investigación y más. Estas competencias son más que solo conjuntos de herramientas: involucran los cerebros detrás del teclado.
Las personas que necesita ya podrían estar dentro de su organización, pero trabajando en campos relacionados de administración o seguridad del sistema.
Contratar internamente a menudo puede ser una buena opción. “Comprender el entorno es esencial porque no puede responder en un entorno que no conoce”, dice Remes. “No será tan eficiente como las personas que están menos capacitadas en seguridad pero que realmente conocen a la organización”.
Según la naturaleza del entorno tecnológico comercial, el SOC deberá contar con miembros del equipo con una diversidad de habilidades. Podría necesitarse experiencia en todo, desde sistemas operativos modernos hasta computadoras centrales y sistemas heredados y arquitecturas en la nube.
Incorporar fuentes de datos esenciales
Un SOC es básicamente una forma de analizar y responder al flujo de datos de toda la organización. Para un nuevo SOC, las fuentes de datos iniciales deben provenir de los sistemas más confidenciales y críticos para el negocio.
Lyborg de Swimlane aconseja a los ejecutivos que crean un SOC recién pensado que tengan en cuenta el tipo y la taxonomía de los datos. También es importante crear un modelo de datos común para acelerar la integración de herramientas y simplificar el mapeo de información. Por lo general, los flujos de datos no solo provienen de conjuntos de herramientas de seguridad, sino también de servidores y puntos finales, múltiples ambientes en la nube, sistemas locales, operaciones de redes e infraestructura y sistemas de gestión de identidades.
[Leer también: 5 pasos para asegurar las “joyas de la corona” de datos de su organización]
Para mapear las fuentes de datos, Shpantzer recomienda considerar dónde se encuentran físicamente: “¿Están en las instalaciones? ¿Están en el sistema en la nube? ¿Y tengo el conjunto de habilidades de ingeniería de datos, ya sea internamente o consultado, para crear esencialmente lo que algunas personas llamarían un canal de datos, para tomar esos registros de varios métodos antiguos y modernos?”
Adoptar las últimas herramientas
Tiene más sentido obtener un conjunto sólido de capacidades centrales que se ejecuten primero y se desarrollen desde allí. Para un nuevo SOC, primero incorpore el monitoreo de seguridad y la detección de eventos en sus capacidades de respuesta. Después de que se implementen los elementos esenciales, es momento de considerar agregar capacidades más avanzadas, como la búsqueda de amenazas, el trabajo en equipo en rojo, la investigación forense y la inteligencia de amenazas, entre otras especialidades.
En una encuesta 2021, el Instituto SANS descubrió que las SOC utilizan herramientas y tácticas con mayor frecuencia, como redes privadas virtuales (VPN), gestión de eventos e información de seguridad (SIEM), seguridad de correo electrónico, antimalware, corrección de vulnerabilidades, detección y respuesta basadas en host, firewalls, sistemas de detección de intrusos (IDS) y sistemas de prevención de intrusos (IPS). Este conjunto de herramientas demuestra que la mayoría de las personas encuestadas estaban interesadas en mantener seguras sus comunicaciones de SOC mientras proporcionaban monitoreo de amenazas, prevención de ataques y respuesta a incidentes.
Decida qué subcontratar
Con millones de vacantes de trabajo de seguridad de la información sin cubrir, puede ser más práctico y rentable que las organizaciones externalicen tareas que no pueden asignarse fácilmente internamente.
“Los arquitectos e ingenieros de seguridad deben entrevistar a las diversas unidades de negocios para identificar cómo desean interactuar y comunicarse con los equipos de operaciones de seguridad”.Michael Lyborg, vicepresidente sénior de seguridad global y TI empresarial, Swimlane
La encuesta SANS reveló que el 38 % de los encuestados operan su SOC internamente las 24 horas del día; el 15 % subcontratan completamente su SOC y el 31 % utilizan una combinación de monitoreo interno y subcontratado. Para controlar los costos, el 16 % no opera su SOC 24/7.
Las organizaciones a menudo no tienen suficiente trabajo para mantener ocupados a los especialistas dedicados. Por lo tanto, muchos subcontratan capacidades especializadas según sea necesario. Los trabajos subcontratados con mayor frecuencia incluyen pruebas de penetración, trabajo en equipo rojo, análisis forense e inteligencia de amenazas, según la encuesta SANS.
Esforzarse por la madurez continua
Una vez que un SOC está en funcionamiento, la prioridad cambia a agregar capacidades, capacidades maduras ya implementadas y optimizar las operaciones con el tiempo. Un marco de mejores prácticas puede ayudar a identificar capacidades esenciales de inmediato y medir la madurez. Los marcos comunes incluyen el Marco de ciberseguridad del Instituto Nacional de Estándares y Tecnología (National Institute of Standards and Technology Cybersecurity Framework, NIST CSF), el marco ATT&CK de Mitre y el modelo de capacidad y madurez del SOC (SOC-CMM).
[Leer también: 5 gráficos que muestran por qué es mejor prevenir un ciberataque que combatir uno]
En general, un SOC madurará a medida que se agreguen más capacidades, a medida que se puedan automatizar más operaciones, a medida que la seguridad cubra una participación creciente de los activos críticos de una organización y a medida que las amenazas se prioricen y mitiguen en función del riesgo comercial.
“Es importante no esperar demasiado rápido”, dice Remes. “No va a ser un cambio que haya cambiado. Comenzará de manera básica y muy manual y se pondrá más operativo y automatizado con el tiempo”.
En resumen: No permita que lo perfecto sea el enemigo del bien. Después de todo, crear un equipo de operaciones de seguridad ágil es una maratón después del sprint inicial.
