Investigación de Amenazas Internas | Decripte Security

Las amenazas internas representan riesgos únicos debido a la combinación de acceso legítimo, conocimiento de los sistemas y motivaciones diversas. Detectar e investigar amenazas internas requiere un enfoque especializado que equilibre la seguridad con la privacidad de los empleados.

Tipos de Amenazas Internas

Insider Malicioso: Actúa de forma intencionada para causar daño, robar información o sabotear sistemas. Las motivaciones incluyen el beneficio económico, la venganza, la ideología.

Insider Negligente: No cumple con las políticas de seguridad, comete errores que exponen a la empresa a riesgos. Ejemplos: hacer clic en enlaces de phishing, usar contraseñas débiles, compartir información confidencial.

Terceros: Socios, proveedores y prestadores de servicios con acceso a sistemas internos. Pueden ser vectores de ataque o actuar de forma maliciosa.

Exempleados: Accesos no revocados tras la desvinculación, cuentas activas con privilegios indebidos. Riesgo de sabotaje o robo de datos.

Indicadores de Comportamiento

Acceso Anormal a Datos: Acceder a información fuera del alcance del propio rol, en horarios inusuales o en grandes volúmenes.

Copia Inusual de Archivos: Transferir grandes cantidades de datos a dispositivos extraíbles, cloud storage personal o correo electrónico externo.

Actividad de Red Anómala: Conectarse a servidores o sitios sospechosos, usar VPN no autorizadas, intentar eludir los controles de seguridad.

Violaciones de Políticas: Ignorar las normas de seguridad, intentar burlar los controles, comportamiento negligente con información confidencial.

Cambios de Comportamiento: Irritabilidad, estrés, insatisfacción, problemas financieros o personales.

Fuentes de Datos para la Detección

Logs de Acceso: Autenticación, acceso a archivos, bases de datos, aplicaciones.

Logs de Red: Tráfico de red, conexiones, uso de ancho de banda.

Logs de Endpoint: Actividad del usuario, procesos, archivos, dispositivos conectados.

Logs de Correo Electrónico: Envíos, recepciones, archivos adjuntos, enlaces clicados.

Logs de DLP: Detección de fugas de datos, copia de archivos confidenciales.

Datos de RR.HH.: Historial del empleado, evaluaciones de desempeño, quejas, investigaciones internas.

UEBA - Análisis del Comportamiento de Usuarios y Entidades

UEBA utiliza machine learning para analizar el comportamiento de usuarios y entidades (dispositivos, aplicaciones) y detectar anomalías que indiquen una amenaza interna.

Baseline de Comportamiento: Establece patrones de actividad normal para cada usuario y entidad.

Detección de Anomalías: Identifica desviaciones del baseline, como el acceso a datos inusuales, horarios atípicos, transferencias de datos anormales.

Priorización de Riesgos: Asigna puntuaciones de riesgo a usuarios y entidades en función de las anomalías detectadas.

Integración con SIEM: Envía alertas al SIEM para investigación y respuesta a incidentes.

Prevención de Pérdida de Datos (DLP)

DLP monitorea y controla el flujo de información confidencial para prevenir la fuga de datos.

Content Awareness: Analiza el contenido de archivos, correos electrónicos y tráfico de red para identificar información sensible (datos de tarjetas de crédito, información personal, secretos comerciales).

Policy Enforcement: Aplica políticas de seguridad para bloquear, alertar o registrar actividades que infrinjan las normas.

Endpoint DLP: Controla la copia de archivos a dispositivos extraíbles, cloud storage, impresión.

Network DLP: Monitorea el tráfico de red para detectar la exfiltración de datos por correo electrónico, web, FTP.

Proceso de Investigación

1. Alerta: Recepción de una alerta de UEBA, DLP, SIEM u otra fuente.

2. Triaje: Evaluación inicial de la alerta para determinar si se trata de un falso positivo o de un incidente real.

3. Recopilación de Evidencias: Recopilación de logs, datos de endpoint, correos electrónicos, registros de acceso.

4. Análisis: Análisis de las evidencias para determinar el alcance del incidente, el impacto y la causa.

5. Contención: Acciones para evitar que el incidente se propague o cause mayores daños (deshabilitar cuenta, aislar dispositivo, revocar acceso).

6. Remediación: Corrección de las vulnerabilidades que posibilitaron el incidente, fortalecimiento de los controles de seguridad.

7. Acciones Disciplinarias/Legales: Adoptar las medidas apropiadas contra el empleado implicado, si corresponde.

Aspectos Legales y Éticos

Privacidad: Equilibrar la seguridad con la privacidad de los empleados, evitando una monitorización excesiva o invasiva.

Transparencia: Informar a los empleados sobre las políticas de monitorización y los riesgos de las amenazas internas.

Discriminación: Evitar decisiones basadas en raza, religión, género u otras características protegidas.

Debido Proceso: Garantizar que los empleados tengan la oportunidad de defenderse antes de adoptar medidas disciplinarias.

Cumplimiento Normativo: Cumplir con las leyes y reglamentos de protección de datos (LGPD, GDPR).

Políticas y Procedimientos

Política de Seguridad de la Información: Definir normas claras sobre el uso de los recursos de la empresa, el acceso a datos, la protección de información confidencial.

Política de Uso Aceptable: Establecer límites para el uso de internet, correo electrónico, redes sociales.

Política de Contraseñas: Exigir contraseñas robustas, cambios periódicos, autenticación multifactor.

Política de DLP: Definir normas para la protección de datos confidenciales, el control de copias y transferencias.

Procedimiento de Investigación: Describir los pasos a seguir en caso de sospecha de una amenaza interna.

Capacitación y Concienciación

Capacitación en Seguridad: Educar a los empleados sobre los riesgos de las amenazas internas, cómo identificar el phishing, cómo proteger las contraseñas, cómo reportar incidentes.

Simulaciones de Phishing: Poner a prueba la capacidad de los empleados para identificar correos electrónicos maliciosos.

Comunicación Periódica: Enviar boletines, publicaciones en la intranet, recordatorios sobre seguridad.

Cultura de Seguridad: Crear un entorno donde la seguridad se valore y los empleados se sientan cómodos reportando incidentes.

Monitorización Continua

Monitorización de Logs: Analizar los logs de acceso, red y endpoint para detectar actividad sospechosa.

Monitorización de Correo Electrónico: Verificar el envío de información confidencial fuera de la empresa.

Monitorización de Dispositivos Extraíbles: Controlar la copia de archivos a USB, discos duros externos.

Análisis de Comportamiento: Usar UEBA para identificar anomalías en el comportamiento de los usuarios.

Respuesta a Incidentes

Plan de Respuesta a Incidentes: Definir los pasos a seguir en caso de un incidente de amenaza interna.

Equipo de Respuesta a Incidentes: Designar a los responsables de cada etapa del proceso.

Comunicación: Informar a las partes interesadas pertinentes sobre el incidente.

Remediación: Corregir las vulnerabilidades que posibilitaron el incidente.

Acciones Disciplinarias/Legales: Adoptar las medidas apropiadas contra el empleado implicado.

Tecnologías de Apoyo

SIEM: Centraliza los logs de diversas fuentes para el análisis y la detección de incidentes.

UEBA: Analiza el comportamiento de usuarios y entidades para detectar anomalías.

DLP: Monitorea y controla el flujo de información confidencial.

CASB: Protege los datos en aplicaciones cloud.

EDR: Detecta y responde a amenazas en los endpoints.