Gerente de Ciberseguridad

Pregunta de muestra 1

El gerente de ciberseguridad de Cardinal Manufacturing está elaborando el presupuesto de ciberseguridad del próximo año bajo un tope estricto impuesto por finanzas: el mismo monto total en dólares del año anterior. Tres rubros compiten por esa misma bolsa fija de dinero: dos plazas de analista vacantes en el equipo de operaciones de seguridad que llevan seis meses sin cubrirse y que hoy se cubren con costosas horas extra de contratistas, un contrato de servicios administrados de detección y respuesta cuya renovación llega con una tarifa 15 por ciento más alta sin ningún cambio en el servicio, y una nueva plataforma de seguridad de correo electrónico cuyo proveedor afirma que reduciría de manera significativa los incidentes derivados de phishing. El gerente no puede financiar los tres rubros en los niveles solicitados. ¿Cuál enfoque refleja mejor una gestión sólida del presupuesto, la plantilla de personal y las contrataciones de ciberseguridad para el año entrante?

1. A.Comprometer el presupuesto fijo con la combinación de rubros que cierre la mayor cantidad de riesgo, dado que el riesgo que cada rubro deja hoy sin atender, las vacantes de analistas, la cobertura del servicio administrado de detección y la exposición al phishing, debe ponderarse frente a lo que cada dólar compra, y negociar o diferir los rubros restantes.
2. B.Renovar el contrato de servicios administrados de detección y respuesta a la nueva tarifa del proveedor sin intentar negociar el precio, ya que cualquier interrupción en la cobertura tercerizada de detección dejaría la red sin monitoreo, y cubrir las plazas de analista y la nueva plataforma de correo con el presupuesto del año siguiente.
3. C.Cubrir ambas plazas vacantes de analista antes que cualquier otro rubro, porque un puesto sin ocupar en el equipo de seguridad es la brecha más visible ante el consejo directivo, y aplazar la renovación del servicio administrado de detección y la compra de la plataforma de correo hasta el siguiente ciclo presupuestal.
4. D.Aprobar primero la nueva plataforma de seguridad de correo electrónico, en vista de que el phishing es de manera consistente la principal vía por la que los atacantes obtienen acceso inicial, y dejar vencer el contrato de detección administrada durante algunos meses mientras las vacantes de analista permanecen abiertas.

Pregunta de muestra 2

Su organización programó un ejercicio externo de red team que se ejecutará durante dos semanas a partir del lunes. De forma independiente, su SOC planeó un sprint de threat hunting enfocado en el mismo segmento de la red durante la misma ventana, y una unidad de negocio distinta programó un escaneo de vulnerabilidades a gran escala de los activos expuestos a internet para el miércoles. Aplicando los principios y las prácticas de operaciones cibernéticas, ¿qué debería hacer antes del lunes?

1. A.Coordinar las tres actividades: poner cada una en un calendario compartido con su alcance y sus tiempos, y dar al SOC una forma rápida de verificar si una alerta corresponde a una actividad autorizada antes de tratarla como una intrusión real.
2. B.Pedir a la unidad de negocio que mueva su escaneo de vulnerabilidades a la semana siguiente y pedir al SOC que cambie su sprint de threat hunting a un segmento distinto, de modo que el red team conserve para sí esa parte de la red durante el ejercicio de dos semanas.
3. C.Confirmar que cada equipo tenga su propia autorización por escrito en expediente, y después dejar que el red team, el SOC y la unidad de negocio procedan de forma independiente, consultando con sus propios líderes si surge alguna duda durante la ventana de dos semanas.
4. D.Reducir los umbrales de alertamiento del SOC en el segmento de red afectado durante todo el ejercicio de red team, para que los analistas de rutina no sean interrumpidos repetidamente por la actividad que probablemente estén provocando el red team o el escaneo de vulnerabilidades durante la ventana.

Pregunta de muestra 3

Su SOC detecta que una cuenta de administrador de dominio se autentica desde una dirección IP externa desconocida y crea nuevas cuentas de administrador en varios servidores durante la noche. Son las 2 de la madrugada del jueves. El analista de guardia quiere deshabilitar la cuenta y forzar el restablecimiento de contraseña de todos los administradores de dominio en este momento, antes de que su equipo haya mapeado a qué otros sistemas llegó el intruso. Aplicando los principios y las prácticas estándar de respuesta a incidentes, ¿qué debe usted indicar al equipo que haga primero?

1. A.Deshabilitar la cuenta comprometida y restablecer esta misma noche todas las credenciales de administrador de dominio de la organización, ya que eliminar el punto de apoyo del intruso importa más en este momento que terminar un mapa completo de todos los sistemas que la intrusión ha alcanzado.
2. B.Capturar imágenes forenses completas de disco y de memoria de todos los servidores a los que el intruso pudo haber llegado antes de cambiar cualquier cosa, para que la evidencia siga siendo admisible y la cadena de custodia se mantenga, y posponer cualquier contención hasta que esa adquisición de imágenes haya terminado por completo.
3. C.Contener de forma discreta en la capa de red, por ejemplo aislando los hosts afectados y ampliando el monitoreo, mientras un equipo reducido mapea el alcance del movimiento lateral y de la persistencia, y después ejecutar una sola erradicación coordinada una vez comprendido el alcance.
4. D.Apagar de inmediato todos los servidores a los que el intruso pudo haber llegado para cortar cualquier acceso adicional, y una vez que esos sistemas estén completamente fuera de línea y ya no puedan ser alcanzados, comenzar a mapear qué tanto se extendió realmente la intrusión.