Segurinfo colombia Estado de ciberseguridad en latinoamérica
Gestión de amenazas avanzadas para el CIO/CISO - SEGURINFO 2012 - Bogotá
24
GESTIÓN DE AMENAZAS AVANZADAS PARA EL CIO/CISO
-
Upload
gabriel-marcos -
Category
Technology
-
view
276 -
download
3
Transcript of Gestión de amenazas avanzadas para el CIO/CISO - SEGURINFO 2012 - Bogotá
GESTIÓN DE AMENAZAS AVANZADAS PARA EL
CIO/CISO
Gabriel Marcos Product Manager
Presentada por:
LOGO de la
EMPRESA
Aclaración:
© Todos los derechos reservados. No está permitida la reproducción parcial o total del material de esta sesión, ni su tratamiento informático, ni la transmisión de ninguna forma o por cualquier medio, ya sea electrónico, mecánico, por fotocopia, por registro u otros métodos, sin el permiso previo y por escrito de los titulares de los derechos. Si bien este Congreso ha sido concebido para difusión y promoción en el ámbito de la profesión a nivel internacional, previamente deberá solicitarse una autorización por escrito y mediar la debida aprobación para su uso.
No se puede garantizar seguridad El riesgo sí puede ser gestionado para
mantener un nivel aceptable La seguridad es subjetiva El riesgo se puede medir y estimar
Seguridad de la información es la gestión del riesgo
La información es el activo más valioso que tiene una empresa
Valor de la acción al
momento del ataque
http://www.securitybydefault.com/2012/04/el-caso-global-payments-consecuencias.html
Visa Inc. (NYSE:V - News) has dropped Global Payments Inc. (NYSE:GPN - News) from its list of service providers after detecting a cyber intrusion in the latter’s system that likely threatens about 1.5 million customer accounts. This was the second breach of card data by in a year.
By Zacks Equity Research | Zacks Mon, Apr 2, 2012 5:07 PM EDT
MARZO, 2012: ataque
compromete información de 1.5
MM de tarjetas
Gestión del riesgo y la seguridad de la información: una pelea desigual
PRESUPUESTO
OPERACIÓN DEL DÍA A DÍA
PROYECTOS EN CURSO
HACKERS EXTERNOS
RIESGOS CONOCIDOS
RIESGOS POTENCIALES
POLÍTICAS CORPORATIVAS
HACKERS INTERNOS
RIESGOS DESCONOCIDOS
NUEVOS PROYECTOS
IMPREVISTOS USUARIOS
Friedrich Wilhelm Joseph von Schelling: ¿Por qué hay algo y no, más bien, nada?
No se conocen los riesgos
Falta de controles
Enfoque reactivo
Apagar incendios
¿Por qué son efectivos los ataques?
ACT
CHECK
DO
PLAN
ENFOQUE OPERATIVO
Falta de dirección / Hoy vs. Mañana / Cumplimiento regulatorio / ROI & TCO / Tecnología vs servicio
Expectativas vs funcionalidad / Servicio funcionando o garantizado / Riesgo acotado / Soluciones fáciles poco efectivas / Información?
Qué tan efectivos son los controles? / Estamos atacando TODOS los problemas? / Dónde enfocar la solución? / Optimizar recursos
AMENAZAS AVANZADAS: ADVANCED PERSISTENT THREATS (APT)
Investigación
Distribución
Control
Propagación
Infección
Objetivo
Búsqueda
1
2
3
4
5
6
7
Compromiso (ataque exitoso)
Extracción de datos
Descubrimiento
Contención o restauración
Rapidez para
producir resultados
Difícil de detectar y
reparar
MINUTOS
SEMANAS
MESES
AMENAZAS AVANZADAS: ADVANCED PERSISTENT THREATS (APT)
AMENAZAS AVANZADAS: REDES BOTNET
http://www.csoonline.com/article/348317/what-a-botnet-looks-like
Redes compuestas, cada una, de miles de computadores controlados desde un punto central disponibles para: • ejecutar ataques de
denegación de servicio (DDOS)
• distribución de amenazas
• robo de información • otros
AMENAZAS AVANZADAS: REDES BOTNET
Consumerización
Consumerization is the growing tendency for new information technology to emerge first in the consumer market and then spread into business and government organizations.
http://en.wikipedia.org/wiki/Consumerization
Es cada vez más difícil decirle “NO” al usuario
The primary impact of consumerization is that it is forcing businesses, especially large enterprises, to rethink the way they procure and manage IT equipment and services.
Historically, central IT organizations controlled the great majority of IT usage within their firms, choosing or at least approving of the systems and services that employees used.
Consumerization enables alternative approaches. Today, employees and departments are becoming increasing self-sufficient in meeting their IT needs.
Public Servers (WEB / MAIL)
INTERNET Private Network
Remote Branches
(VPN)
Remote Users
Local Users
Remote Branches
(WAN)
Third-parties (Clients / Vendors)
Critical Servers (CRM / ERP)
ZONAS DE RIESGO Y CONTROLES
Public Servers (WEB / MAIL)
INTERNET Private Network
Remote Branches
(VPN)
Remote Users
Local Users
Remote Branches
(WAN)
Third-parties (Clients / Vendors)
Critical Servers (CRM / ERP)
ZONAS DE RIESGO Y CONTROLES
• Web Application Firewall ( WAF)
• Email Security • Database Security
• Firewall • IPS • Antivirus • Antispam • Content filter • Site to site VPN • Client to site
VPN • SSL VPN
• Firewall • IPS
• Firewall • IPS • Site to site VPN
• Endpoint Security • Autenticación
fuerte
Public Servers (WEB / MAIL)
INTERNET Private Network
Remote Branches
(VPN)
Remote Users
Local Users
Remote Branches
(WAN)
Third-parties (Clients / Vendors)
Critical Servers (CRM / ERP)
ZONAS DE RIESGO Y CONTROLES
• Web Application Firewall ( WAF)
• Email Security • Database Security
• Firewall • IPS • Antivirus • Antispam • Content filter • Site to site VPN • Client to site
VPN • SSL VPN
• Firewall • IPS
• Firewall • IPS • Site to site VPN
• Endpoint Security • Autenticación
fuerte
SIEM • Análisis de riesgo en tiempo real para
prevenir la propagación de amenazas. • Integración con TODOS los
componentes de la infraestructura.
Sin falsos positivos Análisis de riesgo en tiempo real Alarmas calificadas Seguimiento y monitoreo de amenazas Múltiples técnicas de detección:
Traffic Patterns Business rules
Almacenamiento y consulta de logs Implementación inmediata Sin licencias, sin inversiones Prevención + detección Reportes en tiempo real
NOW AVAILABLE FROM THE CLOUD
SIEM = Security & Information Event Management
Presenter
Presentation Notes
Las principales características de estos sistemas son: Gracias a utilizar múltiples fuentes de información y manejar grandes volúmenes de datos, permiten optimizar las alarmas que se generan para entregar una cantidad mínima de falsos positivos. Pensemos en lo que implica para un ser humano estar mirando una consola, por ejemplo, de un sistema de detección de intrusos: se generan tantos eventos que es imposible que pueda analizarlos y tomar decisiones, y mucho menos cuando a eso le agregamos eventos de un antivirus, un sistema antispam, múltiples puntos de control… Una de las grandes ventajas de la tecnología de correlación es que permite optimizar el tiempo de los especialistas ya que cuando se detecta una alarma es porque realmente vale la pena invertir el tiempo en analizar qué ocurre. Otro punto fundamental es que estas herramientas poseen varias técnicas de detección; utilizan la detección de patrones porque interactúan con sistemas de antivirus y detección de intrusos por ejemplo, pero también pueden detectar ataques a través de patrones de tráfico y reglas de negocio, un punto que más adelante vamos a ampliar. En definitiva, estos sistemas permiten optimizar la efectividad de los sistemas que ya existen en la organización; nos va a permitir optimizar el valor de las inversiones que ya se realizaron gracias a utilizar toda esa información que hoy en día no se está utilizando e interpretarla de una forma más inteligente en tiempo real.
Información en tiempo real para gestionar riesgo
Presenter
Presentation Notes
Las principales características de estos sistemas son: Gracias a utilizar múltiples fuentes de información y manejar grandes volúmenes de datos, permiten optimizar las alarmas que se generan para entregar una cantidad mínima de falsos positivos. Pensemos en lo que implica para un ser humano estar mirando una consola, por ejemplo, de un sistema de detección de intrusos: se generan tantos eventos que es imposible que pueda analizarlos y tomar decisiones, y mucho menos cuando a eso le agregamos eventos de un antivirus, un sistema antispam, múltiples puntos de control… Una de las grandes ventajas de la tecnología de correlación es que permite optimizar el tiempo de los especialistas ya que cuando se detecta una alarma es porque realmente vale la pena invertir el tiempo en analizar qué ocurre. Otro punto fundamental es que estas herramientas poseen varias técnicas de detección; utilizan la detección de patrones porque interactúan con sistemas de antivirus y detección de intrusos por ejemplo, pero también pueden detectar ataques a través de patrones de tráfico y reglas de negocio, un punto que más adelante vamos a ampliar. En definitiva, estos sistemas permiten optimizar la efectividad de los sistemas que ya existen en la organización; nos va a permitir optimizar el valor de las inversiones que ya se realizaron gracias a utilizar toda esa información que hoy en día no se está utilizando e interpretarla de una forma más inteligente en tiempo real.
Proactividad y prioridades del negocio
Presenter
Presentation Notes
Las principales características de estos sistemas son: Gracias a utilizar múltiples fuentes de información y manejar grandes volúmenes de datos, permiten optimizar las alarmas que se generan para entregar una cantidad mínima de falsos positivos. Pensemos en lo que implica para un ser humano estar mirando una consola, por ejemplo, de un sistema de detección de intrusos: se generan tantos eventos que es imposible que pueda analizarlos y tomar decisiones, y mucho menos cuando a eso le agregamos eventos de un antivirus, un sistema antispam, múltiples puntos de control… Una de las grandes ventajas de la tecnología de correlación es que permite optimizar el tiempo de los especialistas ya que cuando se detecta una alarma es porque realmente vale la pena invertir el tiempo en analizar qué ocurre. Otro punto fundamental es que estas herramientas poseen varias técnicas de detección; utilizan la detección de patrones porque interactúan con sistemas de antivirus y detección de intrusos por ejemplo, pero también pueden detectar ataques a través de patrones de tráfico y reglas de negocio, un punto que más adelante vamos a ampliar. En definitiva, estos sistemas permiten optimizar la efectividad de los sistemas que ya existen en la organización; nos va a permitir optimizar el valor de las inversiones que ya se realizaron gracias a utilizar toda esa información que hoy en día no se está utilizando e interpretarla de una forma más inteligente en tiempo real.
Reportes pre-configurados
Presenter
Presentation Notes
Las principales características de estos sistemas son: Gracias a utilizar múltiples fuentes de información y manejar grandes volúmenes de datos, permiten optimizar las alarmas que se generan para entregar una cantidad mínima de falsos positivos. Pensemos en lo que implica para un ser humano estar mirando una consola, por ejemplo, de un sistema de detección de intrusos: se generan tantos eventos que es imposible que pueda analizarlos y tomar decisiones, y mucho menos cuando a eso le agregamos eventos de un antivirus, un sistema antispam, múltiples puntos de control… Una de las grandes ventajas de la tecnología de correlación es que permite optimizar el tiempo de los especialistas ya que cuando se detecta una alarma es porque realmente vale la pena invertir el tiempo en analizar qué ocurre. Otro punto fundamental es que estas herramientas poseen varias técnicas de detección; utilizan la detección de patrones porque interactúan con sistemas de antivirus y detección de intrusos por ejemplo, pero también pueden detectar ataques a través de patrones de tráfico y reglas de negocio, un punto que más adelante vamos a ampliar. En definitiva, estos sistemas permiten optimizar la efectividad de los sistemas que ya existen en la organización; nos va a permitir optimizar el valor de las inversiones que ya se realizaron gracias a utilizar toda esa información que hoy en día no se está utilizando e interpretarla de una forma más inteligente en tiempo real.
Reportes de compliance: PCI
Presenter
Presentation Notes
Las principales características de estos sistemas son: Gracias a utilizar múltiples fuentes de información y manejar grandes volúmenes de datos, permiten optimizar las alarmas que se generan para entregar una cantidad mínima de falsos positivos. Pensemos en lo que implica para un ser humano estar mirando una consola, por ejemplo, de un sistema de detección de intrusos: se generan tantos eventos que es imposible que pueda analizarlos y tomar decisiones, y mucho menos cuando a eso le agregamos eventos de un antivirus, un sistema antispam, múltiples puntos de control… Una de las grandes ventajas de la tecnología de correlación es que permite optimizar el tiempo de los especialistas ya que cuando se detecta una alarma es porque realmente vale la pena invertir el tiempo en analizar qué ocurre. Otro punto fundamental es que estas herramientas poseen varias técnicas de detección; utilizan la detección de patrones porque interactúan con sistemas de antivirus y detección de intrusos por ejemplo, pero también pueden detectar ataques a través de patrones de tráfico y reglas de negocio, un punto que más adelante vamos a ampliar. En definitiva, estos sistemas permiten optimizar la efectividad de los sistemas que ya existen en la organización; nos va a permitir optimizar el valor de las inversiones que ya se realizaron gracias a utilizar toda esa información que hoy en día no se está utilizando e interpretarla de una forma más inteligente en tiempo real.
Gracias por asistir a esta sesión…
Gabriel Marcos Product Manager – Columbus Networks
@jarvel
Para mayor información:
Los invitamos a sumarse al grupo “Segurinfo” en
