RESPUESTA A INCIDENTES DE CIBERSEGURIDAD (IFCT124) *Ana*

MÓDULO DE FORMACIÓN 1: GESTIÓN DE RESPUESTA A INCIDENTES

Conocimientos/ Capacidades cognitivas y prácticas
• Descripción de un equipo de respuesta a incidentes
- Estructura organizativa
- Distribución de funciones y operación
• Organización de un equipo de respuesta a incidentes
- Creación de procedimientos, políticas y planes para respuesta a incidentes
• Identificación de servicios
- Servicios Reactivos
- Servicios proactivos
- Gestión de la ciberseguridad
• Relación de las fases en la respuesta a incidentes
- Detección del incidente
- Análisis de datos e identificación del incidente
- Contención y erradicación del incidente
- Recuperación del incidente
- Notificación del incidente por regulación
• Localización y contacto de los equipos de coordinación y respuesta a Incidentes de
ciberseguridad: CSIRTs
- Agencia de Ciberseguridad de Cataluña: modelos de interrelación y servicio
- Foros internacionales: FIRST, TERENA, Trusted Introducer
- Agentes nacionales: INCIBE, CCN-CERT, CNPIC
- Asociación nacional de equipos de respuesta a incidentes: CSIRT.ES

MÓDULO DE FORMACIÓN 2: RECOGIDA DE DATOS Y GESTIÓN DE ALARMAS

Conocimientos/ Capacidades cognitivas y prácticas
• Recopilación de datos significativos
- Identificación de las fuentes de datos internas de un centro de operaciones de
seguridad, mediante herramientas de monitorización de red y sistemas
informáticos.
- Identificación de fuentes de datos externas: Análisis de inteligencia del ataque
(investigación, Threat Intelligence) e Inteligencia en fuentes abiertas (OSINT)
- Recogida de evidencias digitales: búsquedas ciegas, preservación de la
confidencialidad de los datos, preservación de la cadena de custodia y gestión de
copias de seguridad.
• Análisis de datos de intrusiones
- Evaluación del impacto potencial de la intrusión y determinación del nivel de alerta
correspondiente
- Detección de intrusiones (IDS)
- Protección contra intrusiones (IPS)
- Gestión de datos
- Análisis forense: Conocer las buenas prácticas de recogida de evidencias
digitales, para mantener su validez en caso de realizarse una denuncia por los
daños sufridos.
• Correlación de datos y generación de alarmas
- Gestión de logs de los diferentes sistemas y servicios
- Sistemas de gestión de eventos de seguridad (SIEM)
- Homogeneización de los datos. Filtrado y normalización de las fuentes.
- Tratamiento de las alarmas: automatización de respuestas y Comunicación del
escenario del incidente
- Otras herramientas: Orquestación y automatización (SOAR), Visualización de
datos y Generación automática de informes

MÓDULO DE FORMACIÓN 3: RECOMENDACIONES DE BUENAS PRÁCTICAS Y MARCO REGULADOR

Conocimientos/ Capacidades cognitivas y prácticas
• Interpretación, selección y aplicación de las herramientas y los estándares
internacionales y nacionales de detección y respuesta a incidentes de ciberseguridad
- MITRE ATT&CK
- SIGMA (Security Management Services)
- SIEM (OSSIM)
- IDS (SNORT)
- RTIR
- OTRS
- LUCIA
• Clasificación de normativas de protección de datos personales
- RGPD de la UE (Reglamento General de Protección de Datos Europeo)
- LOPD-GDD (Ley orgánica de protección de datos y garantía de derechos digitales
española)
• Adecuación al Esquema Nacional de Seguridad
- Metodología de análisis y gestión de riesgos (MAGERIT)
- Herramientas de análisis, evaluación y gestión de riesgos (PILAR)
• Aplicación de la Directiva NIS
- Proveedores de servicios esenciales
- Impacto en las empresas suministradoras
• Definición de los principios de la ética profesional:
- En la respuesta a incidentes
- En la captura y custodia de evidencias

MÓDULO DE FORMACIÓN 4: DESARROLLO DE UNA RESPUESTA A UN INCIDENTE DE CIBERSEGURIDAD

Conocimientos/ Capacidades cognitivas y prácticas
• Extracción de información:
- De una fuente de datos de tráfico en una red corporativa
- De fuentes OSINT
• Automatización de los procesos de detección de intrusiones:
- Integración de fuentes de datos en una herramienta SIEM.
- Selección de los parámetros para la detección y generación de alarmas
relevantes.
• Gestión de la respuesta a un incidente de seguridad informática.
- Identificación de fuentes de cooperación para optimización de la respuesta a un
incidente de ciberseguridad
- Planificación de actuaciones y procedimientos
- Resolución de un ciber-incidente