Orion
Infraestructura y Herramientas

ISACs

Guillermo ArbetetaGuillermo ArbetetaTeam Lead, Threat Intelligence

Los ISACs son Centros de Intercambio y Análisis de Información, nos referiremos a ellos como ISAC, por sus siglas en inglés (Information Sharing and Analysis Center). Los ISAC son organizaciones que aúnan empresas de un mismo sector y cuyo propósito principal es compartir información, análisis e inteligencia entre las organizaciones miembro. El inicio de los ISAC se remonta a 1998, cuando Estados Unidos presentó la "Presidential Decision Directive 63 (PDD-63)", un documento cuyo principal objetivo era identificar los sectores de infraestructura crítica del país y hacer obligatorio que cada uno estableciera una organización de carácter sectorial para compartir información sobre amenazas y vulnerabilidades.

Posteriormente, este mandato fue reforzado y ampliado mediante la Homeland Security Presidential Directive 7 de 2003, la cual derogó y sustituyó a la PDD-63, esto sirvió para consolidar el papel de los ISAC. Con posterioridad, y para no seguir desarrollando mucho más esto, a Cybersecurity Information Sharing Act (CISA) de 2015 estableció salvaguardas legales en materia de defensa de la competencia y responsabilidad civil que eliminaron los obstáculos jurídicos que hasta entonces disuadían a las organizaciones del sector privado de intercambiar información sensible tanto entre sí como con las agencias gubernamentales.

Esta actividad de intercambio de inteligencia (intelligence sharing) aumenta notablemente la capacidad de una empresa de adelantarse a campañas dirigidas y también no dirigidas contra su sector, detectar patrones y ayudar a otros miembros a través de su foro cuando estos presentan preguntas de diversa índole. Si bien es reseñable indicar que no es gratis formar parte de estas organizaciones, aunque el coste de esta "membresía" no es público.

Alguna de la información que se comparte es:

  • IOC (Indicators of Compromise): hashes, IPs, dominios maliciosos, patrones de ataque.
  • TTPs (Tactics, Techniques & Procedures) de los adversarios que atacan ese sector.
  • Vulnerabilidades zero-day y vulnerabilidades bajo explotación.
  • Alertas tempranas de campañas activas de ransomware, phishing y ataques a la cadena de suministro.
  • Análisis post-mortem de incidentes sufridos por miembros, anonimizados y distribuidos como alertas de "lecciones aprendidas".

La nomenclatura de los ISAC es el sector + ISAC, algunos ejemplos son:

  • RH-ISAC - Retail & Hospitality
  • Health-ISAC - Salud y farmacéuticas
  • EE-ISAC - European Energy
  • FS-ISAC - Financial Services
  • EU Space ISAC - Este te lo puedes imaginar
LOLBins
Infraestructura y herramientasInfraestructuras de mando y control, plataformas y herramientas de análisis.
Siguiente

LOLBins

LOLBins (Living Off the Land Binaries) son binarios y scripts legítimos del sistema que los atacantes aprovechan para ejecutar acciones maliciosas sin necesidad de introducir herramientas ruidosas. Hablamos de binarios y herramientas presentes de forma nativa o instaladas legítimamente, como PowerShell, WMI, certutil o bitsadmin, que pueden ser aprovechadas para descargar payloads, ejecutar código, persistir o moverse dentro de un entorno.

Initial Access Brokers
Amenazas y actoresGrupos de amenaza, TTPs y actores maliciosos.
Anterior

Initial Access Brokers

Los Initial Access Brokers (IABs) son actores especializados en obtener acceso inicial a redes comprometidas y luego venderlo a otros. Su negocio, por tanto, no consiste en ejecutar el ataque final si no abrir la puerta y vender ese acceso a otros grupos, normalmente operadores de ransomware o actores con objetivos más concretos y más sofisticados. Esto los convierte en una pieza clave del ecosistema criminal, porque separan el acceso de la explotación y convierten la intrusión en un producto que puede comprarse, revenderse y reutilizarse según el valor del objetivo. En muchos casos, ese acceso se obtiene mediante VPN, RDP, credenciales robadas o malware, luego se oferta en foros underground o por canales privados.

Bibliografía

  1. 01Anomali - Information Sharing and Analysis Center (ISAC)https://www.anomali.com/glossary/information-sharing-and-analysis-center-isac
  2. 02CIS - What Is an ISAC?https://www.cisecurity.org/insights/spotlight/election-security-spotlight-what-is-isac
  3. 03CISA - Communications Information Sharing and Analysis Center (COMM-ISAC) https://www.cisa.gov/resources-tools/programs/communications-information-sharing-and-analysis-center-comm-isac
  4. 04ENISA - Information Sharing and Analysis Centers (ISACs)https://www.enisa.europa.eu/topics/cybersecurity-of-critical-sectors/information-sharing-and-analysis-centers-isacs
  5. 05Europe - EU-ISACs Consortium on Cyber Threatshttps://ec.europa.eu/newsroom/cipr/items/713811/en