Triage

Triage en Ciberseguridad

Triage es ordenar lo urgente con la evidencia que tenemos. La prioridad puede cambiar al conocer nuevos activos afectados; dejar registrada esa decisión ayuda más que fingir certeza desde la primera alerta.

El triage es un proceso en la gestión de incidentes de seguridad. Permite evaluar, priorizar y asignar recursos para manejar amenazas de manera eficiente.

Objetivos

Identificación: Detectar y registrar incidentes.
Priorización: Evaluar la gravedad e impacto potencial.
Asignación: Derivar incidentes a los equipos adecuados.

Pasos

Recepción del Incidente: Recopilar información inicial.
Evaluación Inicial: Analizar tipo y alcance del incidente.
Clasificación: Categorizar según la gravedad (alta, media, baja).
Priorización: Basar en impacto al negocio y sensibilidad de datos.
Asignación: Enviar al equipo adecuado para su resolución.

Herramientas

SIEM: Recopilación y análisis de datos de seguridad.
Plataformas SOAR: Orquestación y automatización de respuestas.
Herramientas de Ticketing: Gestión y seguimiento de incidentes.

Mejores Prácticas

Formación Continua: Mantener al equipo actualizado en amenazas y técnicas.
Automatización: Implementar soluciones para incidentes repetitivos y de bajo riesgo.
Revisión Periódica: Evaluar y actualizar procesos regularmente.

Recepción y evaluación

En este paso debemos recopilar la información, logs, revisión de la alerta de un IDS y validarla. Para validarla debemos evaluar, según la información recopilada, si es que es algo a lo que debemos poner atención. Por ejemplo podemos preguntarnos:

¿Es un falso positivo?
¿Cual es la gravedad de la alerta?
Dicha alerta, ¿es por una vulnerabilidad conocida?

Asignar

Asignamos la prioridad según lo evaluado y según los criterios que generalmente se manejan internamente. Por ejemplo:

Impacto funcional: ej. un Ransomware puede afectar disponibilidad e integridad; si además hay robo o exposición de datos, también confidencialidad. El impacto concreto se investiga.
Impacto informacional: ej. durante una Exfiltración los atacantes pueden robar datos confidenciales que pueden pertenecer a entidades externas.
Recuperabilidad: Publicar datos robados puede hacer imposible recuperar su secreto. Eso no vuelve inútil responder: todavía hay que contener acceso, restablecer servicios y reducir consecuencias. La prioridad considera recuperabilidad, impacto y obligaciones.

Recopilar y analizar

Realizar un análisis exhaustivo del incidente. Implica recopilar de pruebas, investigaciones externas y documentación del proceso. El objetivo es recopilar lo suficiente para tomar una decisión informada para atender el incidente.

En síntesis, comparte con el triage sanitario la idea de priorizar según criterios; sus decisiones y procedimientos son propios de seguridad, categorizando los incidentes en gravedad y derivando a quien sea más acorde en la escala al incidente.

Referencia: NIST SP 800-61 Rev.3, priorización de incidentes.

+----------------------------------------+
| Floure &                               |
| Tachibana's guild                      |
| [Hikari · Nozomi · Nao · Sena]         |
| SEAL: sha256/12: 5ccff42797b0          |
| STATUS: LITURGY_IN_PROGRESS            |
+----------------------------------------+