Intrusiones en nuestros sistemas, gusanos que se replican por la red red infectando nuevas víctimas, defacements de sitios web y denegaciones de servicios (DDoS) son solo algunos ejemplos de incidentes que pueden ocurrir en cualquier empresa y corporación hoy día.
Recientemente estuve en una multinacional por un problema en el cual tenían varias máquinas infectadas con un rootkit, dicho rootkit lo detectaba el AV pero al limpiarlo seguían infectándose. Al tratarse de una multinacional, la infección venía de otro País, pero se estaba extendiendo por todo el sistema. En un solo día, con el trabajo en equipo de varios profesionales involucrados, pudimos conocer el tipo de malware que era, que vulnerabilidades aprovechaba y cuales eran sus vectores de propagación para, a partir de esos datos, poder proponer un plan de contención y detección proactiva de más equipos infectados, parcheo y desinfección.
Para casos similares a este y para cualquier incidente similar a los mencionados al principio, el CERT Societe General dispone de una serie de IRM (Incident Response Methodologies) para actuar ante diferentes amenazas clasificadas como:
- Infección de gusano
- Intrusión en Windows
- Intrusión en Unix
- Denegación de servicio
- Actividad de red sospechosa
- Defacement de sitio web
- Detección de malware en Windows
- BlackMail
