Aprendizajes de respuesta a incidentes en una simulación de ransomware

En este post queremos compartirles los aprendizajes que obtuvimos de respuesta a incidentes con una simulación de ransomware. Be Hacker Pro fue invitado a el último FIRST Regional Symposium Latin America & Caribbean desarrollado en Fortaleza, Brasil, el pasado 4 y 5 de Octubre, en el marco de LACNIC 40, para participar en el día dedicado a entrenamientos de los asistentes del evento, los cuáles en su mayoría son personas involucradas en tareas de Respuesta a Incidentes.

El escenario

En este espacio tuvimos la oportunidad de presentar dos diferentes talleres: el primero relacionado a seguridad en contenedores y el segundo fue una simulación de ransomware dentro de una ambiente productivo. Esta última experiencia es la que queremos compartir en este post.

Fue un ejercicio de 4 horas, donde dividimos a los asistentes al espacio en equipos de trabajo, intentando tener equipos de máximo 3 personas por equipo.

A cada uno de los equipos le entregamos un servidor con una configuración específica, las credenciales de acceso y buscando ser lo más puristas en este espacio, siguiendo el ciclo de respuesta a incidentes definido por NIST, le dimos a los equipos un espacio para la preparación del equipo teniendo en cuenta que se iban a enfrentar a una amenaza de ransomware en algún momento del ejercicio.

Esta simulación está disponible para nuestros clientes corporativos.

Etapa de preparación

En esta etapa de preparación esperábamos que los equipos de Respuesta a Incidentes definidos para el ejercicio plantearan el rol de cada uno de sus integrantes en el equipo y definieran capacidades de detección frente al escenario definido, cabe resaltar que en este punto no era posible realizar cambios en la configuración de la máquina originalmente entregada.

En el tiempo definido para esta primera etapa del ejercicio, buscamos que los equipos conocieran las capacidades de cada uno de sus integrantes, que buscaran alianzas, formas de comunicación con los otros equipos y usaran la herramienta que les entregamos para, de alguna manera, documentar las acciones realizadas y de manera colaborativa pudieran compartir sus hallazgos y tareas realizadas con los otros equipos participantes.

Mientras los equipos estaban en este espacio de preparación y después de varias preguntas, interacciones con los equipos y un preludio adecuado para el ejercicio, procedimos a infectar las máquinas con una muestra de ransomware, la cuál cifraba y borraba todos los archivos de la carpeta donde se encontraba la página web que debía ser protegida en el ejercicio planteado por los equipos de respuesta a incidentes.

Aprendizajes

En el momento en que el incidente se materializó fueron evidentes diferentes falencias que son bastante comunes en los equipos de Respuesta a Incidentes y que queremos compartir con ustedes en este post:

• Los equipos se enfocaron en tareas técnicas, levantamiento de configuraciones del servidor, elementos sospechosos que podrían permitir un compromiso, pero no se realizo una repartición de tareas entre los integrantes del equipo, por lo tanto cuando el incidente se materializó, algunos equipos repetían tareas.

• No fueron definidos procesos de comunicación (como ya lo comentamos en el capitulo del podcast de BHP) en los equipos de respuesta a incidentes; en primera instancia no existía una comunicación clara entre los mismos miembros del equipo, adicionalmente no existían procedimientos de comunicación a todos los interesados del incidente, tampoco existía un proceso de comunicación entre los diferentes equipos de respuesta a incidentes.

• Se evidenció cero trabajo colaborativo entre los equipos asistentes al ejercicio, aunque se encontraba disponible el portal que compartimos a continuación en la imagen para documentar de manera colaborativa los procesos, el trabajo de apoyo entre los equipos fue nulo.

  Es interesante identificar este comportamiento en un espacio de FIRST, una organización que busca justamente ser ese punto centralizador para desarrollar esa colaboración entre los grupos de incidentes. Sin embargo, más allá del espacio de la organización, es muy común que los equipos de Respuesta a Incidente trabajen de manera aislada, buscando resolver sus problemáticas internas, disminuyendo muchas veces la difusión de las mismas.