¿Qué es Blue Teaming y cómo mejora la ciberseguridad?

Blue teaming es la práctica de crear y proteger un entorno de seguridad y responder a los incidentes que amenazan ese entorno. Los operadores de ciberseguridad del equipo azul son expertos en monitorear el entorno de seguridad que protegen en busca de vulnerabilidades, ya sean preexistentes o inducidas por atacantes. Los miembros del equipo azul gestionan los incidentes de seguridad y utilizan las lecciones aprendidas para fortalecer el entorno contra futuros ataques.

Entonces, ¿por qué son importantes los equipos azules? ¿Qué roles asumen realmente?

¿Por qué es importante el equipo azul?

Los productos y servicios basados ​​en tecnología no son inmunes a los ciberataques. La responsabilidad recae, en primer lugar, en los proveedores de tecnología para proteger a sus usuarios de ciberataques internos o externos que puedan comprometer sus datos o activos. Los usuarios de tecnología también comparten esta responsabilidad, pero es poco lo que un usuario puede hacer para defender un producto o servicio con poca seguridad.

Los usuarios habituales no pueden contratar un departamento de expertos en TI para diseñar arquitecturas de seguridad o implementar funciones que mejoren su propia seguridad. Esa es la responsabilidad fiduciaria de una empresa que se ocupa del hardware y la infraestructura de red.

Organismos reguladores como el Instituto Nacional de Normas y Tecnología (NIST) también desempeñan su papel. NIST, por ejemplo, diseña marcos de ciberseguridad que utilizan las empresas para garantizar que los productos y servicios de TI cumplan con los estándares de seguridad.

Todo está conectado

Todos se conectan a Internet a través de hardware e infraestructuras de red (piense en su computadora portátil y Wi-Fi). Las comunicaciones y los negocios importantes se construyen sobre estas infraestructuras, por lo que todo está conectado. Por ejemplo, toma y guarda fotos en su teléfono. Haces una copia de seguridad de esos archivos en la nube. Más adelante, las aplicaciones de redes sociales en su teléfono lo ayudarán a compartir momentos con su familia y amigos.

Las aplicaciones bancarias y las plataformas de pago lo ayudan a pagar cosas sin tener que hacer cola físicamente en un banco o enviar un cheque por correo, y puede declarar impuestos en línea. Todo esto sucede en plataformas a las que se conecta a través de una tecnología de comunicación inalámbrica integrada en un teléfono o computadora portátil.

Si un pirata informático puede comprometer su dispositivo o red inalámbrica, puede robar sus imágenes privadas, sus datos de inicio de sesión bancarios y sus documentos de identidad. Incluso pueden hacerse pasar por ti y robar cosas de personas en tu círculo social. Luego pueden vender este tesoro de información robado a otros piratas informáticos o pedirle un rescate.

Peor aún, el ciclo no termina con un truco. Ser víctima de un ataque no significa que otros atacantes te evitarán. Lo más probable es que te convierta en un imán. Por lo tanto, es mejor evitar que los ataques comiencen en primer lugar. Y si la prevención no funciona, entonces es importante limitar el daño y prevenir futuros ataques. Por tu parte, puedes limitar la exposición con seguridad en capas. La empresa delega la tarea a su equipo azul.

Jugadores de rol en el equipo azul

El equipo azul está compuesto por operadores de seguridad técnicos y no técnicos con funciones y responsabilidades específicas. Pero, por supuesto, los equipos azules pueden ser tan grandes que existen subgrupos de varios operadores. A veces, los roles se superponen. equipo rojo vs. equipo azul Los ejercicios suelen tener los siguientes actores:

• El equipo azul planifica las operaciones de defensa y asigna roles y responsabilidades a otros operadores en la celda azul.
• La celda azul comprende a los operadores que están al frente de la defensa.
• Los agentes de confianza son personas que conocen el ataque o incluso contratan al equipo rojo en primer lugar. A pesar de su conocimiento previo del ejercicio, los agentes de confianza son neutrales. Los agentes de confianza no se entrometen en los asuntos del equipo rojo ni asesoran a las defensas.
• La celda blanca está compuesta por operadores que actúan como amortiguadores y enlace con ambos equipos. Son árbitros que se aseguran de que las actividades del equipo azul y del equipo rojo no causen problemas no deseados fuera del alcance del compromiso.
• Los observadores son personas cuyo trabajo es observar. Observan cómo se desarrolla el compromiso y anotan sus observaciones. Los observadores son neutrales. En la mayoría de los casos, ni siquiera saben quién está en los equipos azul o rojo.
• El equipo rojo está formado por operadores que lanzan un asalto a la arquitectura de seguridad objetivo. Su trabajo es encontrar vulnerabilidades, abrir huecos en la defensa y tratar de burlar al equipo azul.

¿Cuáles son los objetivos del equipo azul?

Los objetivos de cualquier equipo azul dependerán del entorno de seguridad en el que se encuentren y del estado de la arquitectura de seguridad de la empresa. Dicho esto, los equipos azules suelen tener cuatro objetivos principales.

• Identificar y contener las amenazas.
• Eliminar amenazas.
• Proteger y recuperar los bienes robados.
• Documente y revise incidentes para refinar la respuesta a futuras amenazas.

¿Cómo funciona el equipo azul?

En la mayoría de las organizaciones, los operadores del equipo azul trabajan en un Centro de Operaciones de Seguridad (SOC). El SOC es donde los expertos en ciberseguridad ejecutan la plataforma de seguridad de una empresa y donde monitorean y manejan los incidentes de seguridad. El SOC también es donde los operadores apoyan al personal no técnico y a los usuarios de los recursos de la empresa.

Prevención de incidentes

El equipo azul es responsable de comprender y crear un mapa del alcance del entorno de seguridad. También toman nota de todos los activos del entorno, sus usuarios y el estado de esos activos. Con este conocimiento, el equipo implementa medidas para prevenir ataques y percances.

Algunas de las medidas que implementan los operadores del equipo azul para la prevención de incidentes incluyen el establecimiento de privilegios de administración. De esta manera, las personas no autorizadas no tienen acceso a los recursos que no deberían en primer lugar. Esta medida es efectiva para restringir el movimiento lateral si un atacante logra entrar.

Además de restringir los privilegios de administración, la prevención de incidentes también incluye cifrado de disco completo, configurando redes privadas virtuales, cortafuegos, inicios de sesión seguros y autenticación. Muchos equipos azules implementan además técnicas de engaño, trampas colocadas con activos ficticios para atrapar a los atacantes antes de que causen daño.

Respuesta al incidente

La respuesta a incidentes se refiere a cómo el equipo azul detecta, maneja y se recupera de una infracción. Varios incidentes activan alertas de seguridad y no es posible responder a todos y cada uno de los activadores. Entonces, el equipo azul debe establecer un filtro para lo que cuenta como un incidente.

Generalmente, lo hacen mediante la implementación de un sistema de gestión de eventos e información de seguridad (SIEM). Los SIEM notifican a los operadores del equipo azul cuando ocurren eventos de seguridad, como inicios de sesión no autorizados combinados con intentos de acceder a archivos confidenciales. Por lo general, tras la notificación de un SIEM, un sistema automatizado revisa la amenaza y escala a un operador humano si es necesario.

Los operadores del equipo azul suelen responder a los incidentes aislando el sistema comprometido y eliminando la amenaza. La respuesta a incidentes puede significar apagar todas las claves de acceso en casos de acceso no autorizado, hacer un comunicado de prensa en los casos en que el incidente afecte a los clientes y lanzar un parche. Más tarde, el equipo hace una auditoría forense después de una infracción para recopilar evidencia que ayude a prevenir una repetición.

Modelado de amenazas

El modelado de amenazas es cuando los operadores usan vulnerabilidades conocidas para simular un ataque. El equipo elabora un libro de jugadas para responder a las amenazas y comunicarse con las partes interesadas. Entonces, cuando ocurre un ataque real, el equipo azul tiene un plan sobre cómo priorizarán los activos o asignarán la mano de obra y los recursos para la defensa. Por supuesto, las cosas rara vez salen exactamente como se planean. Aún así, tener un modelo de amenazas ayuda a los operadores del equipo azul a mantener el panorama general en perspectiva.

El trabajo en equipo azul sólido es proactivo

Los operadores del equipo azul de trabajo garantizan que sus datos estén seguros y que pueda usar la tecnología de manera segura. Sin embargo, un panorama de ciberseguridad que cambia rápidamente significa que un equipo azul no puede prevenir o eliminar todas las amenazas. Tampoco pueden endurecer demasiado un sistema; podría volverse inutilizable. Lo que pueden hacer es tolerar un nivel aceptable de riesgo y trabajar con el equipo rojo para mejorar continuamente la seguridad.