Mejorar la respuesta a incidentes con el Marco de Ciberseguridad del NIST y la automatización y orquestación de la seguridad (SAO)

El Marco de ciberseguridad del Instituto Nacional de Estándares y Tecnología (NIST) Se desarrolló en respuesta a una orden ejecutiva presidencial de 2013 para ayudar a las organizaciones gubernamentales y privadas a proteger mejor su infraestructura crítica contra ciberataques. Actualmente, en su segunda versión (1.1), el Marco de Ciberseguridad ofrece a las organizaciones una forma flexible de diseñar e implementar estrategias de ciberseguridad rentables pero integrales. Abarca toda la gama de seguridad, desde la identificación y detección de amenazas hasta la respuesta y la recuperación.

El Marco de Ciberseguridad del NIST apoya a las organizaciones proporcionándoles una forma flexible de diseñar e implementar una estrategia de ciberseguridad rentable pero integral.

Automatización y Orquestación de Seguridad (SAO) ayuda a las organizaciones a implementar controles alineados con el Marco de Referencia. SAO es un conjunto de herramientas y prácticas que automatizan la detección de seguridad y la respuesta a incidentes, y orquestan los sistemas de seguridad. Con SAO, las organizaciones aumentan la productividad y la eficacia de sus equipos de seguridad al responder a incidentes de seguridad de acuerdo con el Marco de Referencia.

¿Qué contiene el Marco de Ciberseguridad del NIST?

El Marco de Ciberseguridad del NIST ofrece una amplia guía para el desarrollo, la implementación y la mejora continua de un programa de ciberseguridad. Su núcleo consta de cinco funciones: identificar, proteger, detectar, responder y recuperar. Cada función se divide en categorías, cada una de las cuales ofrece subcategorías para abordar aspectos específicos de la protección de infraestructuras críticas contra ciberataques.

También proporciona un conjunto de niveles de implementación que las organizaciones pueden usar para evaluar su gestión de los riesgos de ciberseguridad. Una organización de nivel 1, "parcial", ofrece respuestas informales y reactivas a las ciberamenazas. El nivel 2 está "informado por el riesgo", mientras que el nivel 3 es "repetible". El nivel 4 representa una organización "adaptativa", capaz de diseñar procesos repetibles con flexibilidad para responder a riesgos cambiantes.

Cómo la automatización y la orquestación de la seguridad mejoran la respuesta a incidentes

La respuesta a incidentes de seguridad va más allá de simplemente responder a un problema. En el Marco de Ciberseguridad, la respuesta a incidentes incluye las funciones básicas de detección, respuesta y recuperación. Las tres son necesarias para responder adecuadamente a un incidente de seguridad.

La Tabla 1 muestra las 11 categorías incluidas en estas tres funciones, cada una con un identificador único. Por ejemplo, en la función de detección, DE.AE corresponde a la categoría "Anomalías y Eventos". Para cumplir con el Marco, una organización debe diseñar una forma de detectar anomalías o eventos sospechosos que puedan indicar el inicio de un incidente de seguridad. Esto podría implicar que DE.CM ("Monitorización Continua de Seguridad") opere en conjunto con DE.DP ("Procesos de Detección").

Tabla 1 – Las funciones de detección, respuesta y recuperación del Marco de Ciberseguridad del NIST

Integración de tecnologías de seguridad y comunicación con SAO

Muchas organizaciones utilizan tecnologías como sistemas de detección de intrusiones (IDS) y soluciones de monitoreo de incidentes y eventos de seguridad (SIEM) para realizar la función de detección del Framework. Para obtener los mejores resultados de esta función, SAO debe habilitar integraciones entre SIEM, IDS o cualquier otra herramienta de seguridad que genere alertas de seguridad. La integración permite una orquestación que mejora la productividad y la automatización de los pasos del flujo de trabajo de detección.

El Marco recomienda un proceso de respuesta planificado previamente. Según las categorías de respuesta, se deben implementar procesos de comunicación rigurosos para monitorear el progreso del análisis de amenazas y los flujos de trabajo de mitigación de amenazas. Un proceso de comunicación riguroso también requiere integración. La integración de los sistemas de comunicación relevantes, como el correo electrónico y la gestión de tickets, con SAO permite automatizar las comunicaciones y libera a los miembros del equipo de la tarea repetitiva de comunicar estados de alerta. La respuesta descrita en el Marco continúa durante la recuperación.

Solucionar la escasez de personal de ciberseguridad con SAO

El reto de usar el Marco de Ciberseguridad del NIST para la respuesta a incidentes reside en la inevitable limitación de recursos disponibles, ya que el número de personal cualificado en un equipo de ciberseguridad es limitado, y la escasez de personal especializado en ciberseguridad sigue aumentando. Con el aumento de las amenazas, los equipos pueden verse abrumados por falsos positivos y verse improductivos por la necesidad de mantenerse al día con las tareas rutinarias de notificación y gestión de incidencias. Si el equipo no cuenta con las herramientas adecuadas, no podrá cumplir eficazmente con los criterios del Marco de Ciberseguridad.

La automatización y orquestación de la seguridad ofrece una solución al problema de los recursos limitados al agilizar cada etapa del ciclo de detección-respuesta-recuperación. Por ejemplo, imagine que un equipo de operaciones de seguridad recibe una alerta de una solución SIEM sobre un evento anómalo en la red. Si el equipo responde manualmente a la alerta, tendrá que realizar la tediosa y laboriosa tarea de abrir un ticket, realizar un análisis de amenazas y comunicarse con las partes interesadas.

Con SAO, estos pasos se automatizan. Las interacciones entre los sistemas relevantes se orquestan según los pasos del proceso definidos. La solución SAO puede enviar automáticamente los detalles de la alerta a un sistema de inteligencia de amenazas, abrir un... gestión de casos ticket en un sistema como JIRA y enviar correos electrónicos a las partes interesadas relevantes.

Figura 2 – Subcategorías de la categoría Detectar: Anomalías y Eventos (DE:AE) en la función Detectar del núcleo del marco NIST.

La Tabla 2 describe cómo una solución SAO facilita la respuesta a incidentes. Mediante la función de detección de la categoría de anomalías y eventos (DE:AE), se desglosa la función de SAO en varias subcategorías. Por ejemplo, la subcategoría DE.AE-3 requiere “Los datos de eventos se agregan y correlacionan desde múltiples fuentes y sensores”, y SAO puede automatizar los pasos necesarios para la agregación y correlación desde múltiples fuentes. Orquestación de seguridad También puede integrar los sistemas involucrados en los procesos de análisis y correlación.

SAO tiene el potencial de transformar los flujos de trabajo de respuesta a incidentes. La solución SAO adecuada permite a un equipo de ciberseguridad trabajar de forma más inteligente y estar al tanto de las alertas e incidentes a medida que se producen. El equipo también puede aprovechar SAO para mejorar la respuesta a incidentes con el tiempo. De esta manera, SAO también ayuda a las organizaciones a avanzar en los niveles del Marco, desarrollando procesos de respuesta a incidentes repetibles y adaptables.

SAO ayuda a las organizaciones a orquestar sistemas, lo que les permite desarrollar procesos de respuesta a incidentes repetibles y adaptables.

Swimlane y el Marco de Ciberseguridad del NIST para mejorar la respuesta a incidentes

Swimlane ofrece automatización y orquestación de seguridad que ayudan a su organización a cumplir con el Marco de Ciberseguridad y a mejorar la respuesta a incidentes. Fácil de implementar, usar, administrar y escalar, Swimlane utiliza métodos orientados a objetos que permiten a un equipo de operaciones de seguridad aprovechar las capacidades de sus herramientas de seguridad existentes.

¿Le interesa saber más sobre cómo la automatización de la seguridad puede ayudar a su organización? Descargue nuestro ebook. 8 casos de uso reales para orquestación, automatización y respuesta de seguridad.

Solicitar una demostración

Si aún no ha tenido la oportunidad de explorar Swimlane Turbine, solicite una demostración. 

Solicitar una demostración