Gestió d'incidents de ciberseguretat

Enunciat oficial. Gestió d'Incidents de Ciberseguretat.

1. Conceptes

• Esdeveniment de seguretat: qualsevol succés observable en un sistema o xarxa.
• Incident de seguretat: esdeveniment o sèrie d'esdeveniments no desitjats o inesperats que tenen una probabilitat significativa de comprometre les operacions i d'amenaçar la seguretat de la informació —la confidencialitat, la integritat o la disponibilitat.
• Bretxa de dades personals (RGPD, art. 4): violació de la seguretat que ocasioni la destrucció, pèrdua o alteració accidental o il·lícita de dades personals, o la comunicació o accés no autoritzats. Tot incident no és una bretxa, però tota bretxa és un incident.
• Vulnerabilitat, amenaça, explotació (exploit) i compromís (IoC — indicador de compromís).
• Falsos positius i falsos negatius: el gran problema operatiu d'un SOC.

2. Tipus d'atac i codi maliciós

Codi maliciós (malware), classificat sobretot per la seva capacitat de propagar-se:

• Virus: s'autoreplica infectant altres fitxers o programes, però necessita que l'usuari n'executi l'hoste per activar-se.
• Cuc (worm): s'autoreplica sol, sense fitxer hoste ni intervenció de l'usuari, propagant-se directament per la xarxa.
• Troià: es fa passar per programari legítim i NO té capacitat d'autoreplicar-se; depèn que l'usuari l'executi voluntàriament. Aquesta capacitat de replicar-se és la diferència essencial amb el virus: tots dos són malware i tots dos són detectables.
• Ransomware: bloqueja o xifra les dades i exigeix un rescat (habitualment en criptomoneda) per recuperar-les; la resposta operativa es desenvolupa a còpies de seguretat 3-2-1 i ransomware.
• Spyware: recull informació de l'usuari sense el seu consentiment.
• Rootkit: s'oculta al sistema operatiu, amagant la seva pròpia presència i la d'altre programari maliciós.
• Botnet: xarxa de dispositius compromesos (bots o zombis) controlada remotament per un atacant.

DDoS (Distributed Denial of Service, denegació de servei distribuïda): una botnet executa milers de peticions simultànies contra un servei fins a fer-lo inaccessible per a les persones usuàries legítimes. Es diferencia del DoS (Denial of Service, denegació de servei) d'un sol origen precisament per ser distribuït des d'una xarxa de màquines compromeses.

Tècniques d'atac que no són codi maliciós. La majoria d'incidents comencen per una d'aquestes, i el que el tribunal demana és distingir-les entre elles:

• Enginyeria social i phishing: s'enganya la persona, no la màquina. Variants: spear phishing (dirigit a una persona concreta i preparat amb informació seva), smishing (per SMS — Short Message Service), vishing (per veu) i BEC (Business Email Compromise: suplantació del directiu que ordena una transferència).
• Atac de l'intermediari (MITM — Man In The Middle): un sistema que veu la comunicació entre dos altres sistemes i s'imposa en el camí de comunicació entre tots dos, de manera que la pot llegir i alterar sense que cap dels extrems ho noti. Ni satura res ni esgota cap recurs —aquesta és la confusió que cal desfer— i no es detecta fàcilment: es combat amb xifratge en trànsit i autenticació mútua dels extrems.
• Atacs d'esgotament de recursos, que sí que saturen i que sovint s'ofereixen com a distractors de l'anterior: a més del DoS i el DDoS, el SYN (synchronization) flood, una inundació de peticions de sincronització que deixa el servidor sense connexions lliures, i el DHCP (Dynamic Host Configuration Protocol) starvation, en què un dispositiu demana adreces al servidor fins que les esgota.
• Atacs contra credencials: força bruta, diccionari i farciment de credencials (credential stuffing: reutilitzar credencials filtrades en una altra bretxa).
• Desbordament de memòria intermèdia (buffer overflow): escriure més dades de les que caben en un búfer per sobreescriure la memòria adjacent i alterar el flux d'execució del programa.
• Atacs contra aplicacions web —injecció SQL (Structured Query Language), cross-site scripting— i el Top 10 d'OWASP (Open Web Application Security Project): la defensa perimetral i el WAF (Web Application Firewall) es desenvolupen a arquitectures de seguretat on premise.

3. El cicle de vida segons NIST

NIST SP 800-61 (SP: Special Publication) — Computer Security Incident Handling Guide. Quatre fases, en cicle:

1. Preparació: polítiques i pla de resposta, equip (CSIRT) i rols, eines, formació, inventari d'actius, línies base de comportament normal, canals de comunicació segurs i simulacres. És la fase que més determina l'èxit i la que més s'omet.
2. Detecció i anàlisi: fonts de detecció (SIEM, EDR, IDS/IPS, usuaris, tercers, CERT), triatge, classificació i priorització, anàlisi de l'abast, documentació i notificació inicial.
3. Contenció, eradicació i recuperació: contenció a curt termini (aïllar) i a llarg termini (mesures provisionals per continuar operant), eradicació de la causa i dels artefactes, i recuperació dels sistemes a producció amb monitoratge reforçat.
4. Activitat posterior: lliçons apreses, informe final, actualització de procediments i controls, i mètriques.

Alternativa — el model de SANS (SysAdmin, Audit, Network, and Security): preparació, identificació, contenció, eradicació, recuperació i lliçons apreses (sis fases). És el mateix cicle amb la detecció i la resposta desglossades.

4. El cicle segons ISO/IEC 27035

La norma ISO/IEC 27035 —Gestió d'incidents de seguretat de la informació, publicada per la ISO i la IEC (International Electrotechnical Commission)— estructura la gestió en cinc fases:

1. Planificar i preparar (Plan and prepare).
2. Detecció i informe (Detection and reporting).
3. Avaluació i decisió (Assessment and decision).
4. Respostes (Responses): contenció, eradicació, recuperació i, si escau, anàlisi forense.
5. Lliçons apreses (Lessons learnt).

La darrera fase de la gestió d'un incident de seguretat segons la ISO/IEC 27035 és la de lliçons apreses. Aquesta és la resposta literal a la pregunta d'examen. És la fase que tanca el cicle i que alimenta la millora contínua: sense ella, l'organització repeteix el mateix incident.

5. Classificació i priorització

Criteris: impacte (nombre d'usuaris i sistemes afectats, criticitat del servei, dades compromeses, pèrdua econòmica, dany reputacional) i urgència (propagació, finestra d'actuació).

Taxonomia del CCN-CERT i de la Guia Nacional de Notificació i Gestió de Ciberincidents, amb cinc nivells de perillositat: crític, molt alt, alt, mitjà i baix, i una taxonomia de tipus: contingut abusiu, codi maliciós, obtenció d'informació, intent d'intrusió, intrusió, disponibilitat, compromís de la informació, frau, vulnerable i altres.

MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge): el catàleg més conegut que classifica les tàctiques i tècniques de ciberatac, organitzat en tàctiques (l'objectiu de l'adversari: accés inicial, execució, persistència, escalada de privilegis, evasió de defenses, accés a credencials, descobriment, moviment lateral, recol·lecció, comandament i control, exfiltració, impacte) i tècniques i subtècniques (com ho fa). És la resposta a la pregunta sobre el catàleg de tàctiques i tècniques d'atac.

Altres marcs: Cyber Kill Chain de Lockheed Martin (reconeixement, armament, lliurament, explotació, instal·lació, comandament i control, accions sobre l'objectiu), Diamond Model, CVE (Common Vulnerabilities and Exposures) i CVSS (Common Vulnerability Scoring System: identificació i puntuació de vulnerabilitats), CWE (Common Weakness Enumeration: tipus de debilitat), STIX (Structured Threat Information eXpression) / TAXII (Trusted Automated eXchange of Indicator Information) per a l'intercanvi d'intel·ligència, i TLP (Traffic Light Protocol: semàfor per a la compartició d'informació).

6. Organització de la resposta

La resposta la sostenen dues unitats que es confonen amb facilitat i que convé separar des del principi: el SOC vigila i el CSIRT respon. El SOC és una funció contínua de monitoratge que mira què està passant ara i escala el que sembla un incident; el CSIRT és l'equip que se'n fa càrrec un cop l'incident està declarat i el condueix fins al tancament i les lliçons apreses. En una organització petita les fa la mateixa gent, però són funcions diferents: es pot tenir SOC sense CSIRT (es detecta i ningú no sap què fer després) i CSIRT sense SOC (es respon només quan algú avisa, perquè no hi ha vigilància pròpia).

• CSIRT (Computer Security Incident Response Team) / CERT (Computer Emergency Response Team): equip responsable de la resposta. Pot ser intern, extern o mixt; als dos termes se sol donar un ús equivalent.
• SOC (Security Operations Center): unitat de monitoratge i detecció contínua, sovint 24×7, amb nivells L1 (Level 1: triatge), L2 (Level 2: anàlisi) i L3 (Level 3: caça d'amenaces i forense).
• Rols: coordinador d'incidents, analistes, forense, comunicació, jurídic, DPD (Delegat de Protecció de Dades), responsable de seguretat (CISO — Chief Information Security Officer) i direcció per a les decisions de crisi.
• Equips a Espanya: CCN (Centro Criptológico Nacional)-CERT (sector públic i empreses estratègiques), INCIBE (Instituto Nacional de Ciberseguridad)-CERT (ciutadania i empreses), ESPDEF (España Defensa)-CERT (defensa), i a Catalunya l'Agència de Ciberseguretat de Catalunya amb el seu CERT.
• Eines: SIEM (Security Information and Event Management: correlació de registres com Splunk, QRadar, Sentinel, Elastic, Wazuh), SOAR (Security Orchestration, Automation and Response: automatització de la resposta), EDR (Endpoint Detection and Response) / XDR (eXtended Detection and Response), IDS (Intrusion Detection System) / IPS (Intrusion Prevention System), sandbox, TIP (Threat Intelligence Platform, plataforma d'intel·ligència d'amenaces), NDR (Network Detection and Response) i UEBA (User and Entity Behavior Analytics).

Primera notificació interna, davant una sospita d'incident: no es fa directament al DPD ni a l'autoritat de control, sinó pels canals interns establerts (per exemple el SAU — Servei d'Atenció a l'Usuari) al servei o rol responsable de seguretat, que avalua i documenta l'incident en un informe per al responsable executiu del tractament afectat. Només si l'avaluació ho confirma intervenen, ja, el DPD i —dins del termini de 72 hores— l'autoritat de control (secció 7).

7. Obligacions de notificació

Aquest és el punt on més es concentra la normativa i les preguntes:

L'obligació de notificar del sector públic no neix aquí: és l'Esquema Nacional de Seguretat qui la imposa, amb la categoria del sistema i la perillositat de l'incident com a criteris i amb la seva Instrucció Tècnica de Seguretat de notificació d'incidents com a detall. Aquest tema en descriu el procediment de resposta; el marc normatiu que l'obliga és allà.

El responsable ha de DOCUMENTAR totes les violacions de seguretat, les notifiqui o no, amb els fets, els efectes i les mesures correctores (RGPD, art. 33.5). Aquest registre és el que l'autoritat demanarà primer.

Contingut mínim de la notificació (RGPD, art. 33.3): naturalesa de la violació i, si és possible, categories i nombre aproximat d'interessats i de registres afectats; dades de contacte del DPD; conseqüències probables; i mesures adoptades o propostes, incloent-hi les de mitigació.

Escenari d'examen: es produeix un incident de ciberseguretat que afecta dades personals i pot suposar un risc per als drets i llibertats. La resposta correcta és notificar-ho a l'autoritat de control en un màxim de 72 hores i, si el risc és alt, comunicar-ho també als interessats sense dilació indeguda, a més de documentar-ho internament.

8. Anàlisi forense i lliçons apreses

8.1 Anàlisi forense

Objectiu: determinar què ha passat, com, quan, qui i quin ha estat l'abast, preservant les evidències amb valor probatori.

Principis:

• Cadena de custòdia: documentació ininterrompuda de qui ha tingut l'evidència, quan i per què. Sense ella, l'evidència no val al procediment.
• Ordre de volatilitat (RFC 3227, Request for Comments): registres i memòria cau de la CPU (Central Processing Unit) → memòria RAM (Random Access Memory) → estat de la xarxa i connexions → processos en execució → disc → registres remots → suports d'arxiu. Es recull del més volàtil al menys volàtil.
• No treballar mai sobre l'original: es fa una imatge forense bit a bit amb suma de comprovació (hash) i es treballa sobre la còpia.
• No apagar precipitadament un sistema compromès si es vol preservar la memòria volàtil.
• Documentar-ho tot, amb marques de temps fiables.

Eines: Autopsy/Sleuth Kit, FTK (Forensic Toolkit), EnCase, Volatility (memòria), Wireshark, Velociraptor, KAPE (Kroll Artifact Parser and Extractor), plaso/log2timeline.

8.2 Lliçons apreses

És la fase que tanca el cicle en els dos models —la quarta del NIST i la cinquena i última de la ISO/IEC 27035— i la que més sovint s'omet, perquè arriba quan el servei ja torna a funcionar i sembla que no queda feina. Es materialitza en dues coses: una reunió de revisió posterior a l'incident, convocada dies després del tancament i no mesos, amb tots els rols que hi van intervenir; i un informe final que respon sempre les mateixes preguntes.

• Què va passar exactament i en quins moments: la cronologia reconstruïda a partir de les evidències.
• Es va seguir el procediment escrit? I abans que això: n'hi havia, de procediment?
• Quina informació hauria calgut tenir abans i no es tenia (registres inexistents, inventari desactualitzat, contactes il·localitzables).
• Què va endarrerir la contenció o la recuperació, i si la decisió es va prendre al nivell que tocava.
• Quines mesures preventives i detectives eviten que es repeteixi, cadascuna amb persona responsable i data.

El resultat útil no és el document: és el canvi als controls, als procediments i a la formació, i les mètriques que permeten comprovar que la millora existeix —MTTD (Mean Time To Detect, temps mitjà de detecció), MTTR (Mean Time To Respond, temps mitjà de resposta o de contenció), nombre d'incidents per categoria i percentatge d'incidents reincidents—. Un incident que torna amb la mateixa causa arrel és la prova que aquesta fase no s'ha fet.

9. Prevenció i intel·ligència d'amenaces

Tot el que hi ha en aquest apartat actua abans que hi hagi incident, i per tant s'ordena amb el risc: el risc és el marc previ i l'incident és el risc materialitzat. La identificació, l'avaluació i el tractament del risc —i els registres i propietaris que en resulten— es desenvolupen a gestió del risc en ITIL v4; aquí, les mesures concretes de prevenció i intel·ligència.

• Gestió de vulnerabilitats: descobriment, priorització (CVSS, EPSS (Exploit Prediction Scoring System), explotació activa) i aplicació de pedaços amb terminis segons criticitat → desplegament d'aplicacions amb SCCM.
• Proves de penetració (pen test): el propòsit d'un pen test és simular un atac real i controlat contra els sistemes per identificar i explotar vulnerabilitats, i així avaluar l'eficàcia real de les defenses i l'impacte que tindria una intrusió, amb un abast i unes regles d'enfrontament acordats prèviament per escrit. Es diferencia de l'anàlisi de vulnerabilitats en què aquesta només detecta i llista les vulnerabilitats, sense explotar-les. Tipus: caixa negra, caixa grisa i caixa blanca; i Red Team (simulació d'adversari amb objectius, sense avís), Blue Team (defensa) i Purple Team (col·laboració).
• CTI (Cyber Threat Intelligence, intel·ligència d'amenaces): estratègica, tàctica, operacional i tècnica; IoC i TTP (Tactics, Techniques, and Procedures); compartició amb STIX/TAXII i MISP (Malware Information Sharing Platform).
• Caça d'amenaces (threat hunting): cerca proactiva d'activitat maliciosa que ha eludit els controls.
• Conscienciació: la formació del personal i les campanyes simulades de phishing continuen sent la mesura de més retorn, perquè el vector inicial més freqüent és el correu electrònic.
• Informes de tendències: ENISA (European Network and Information Security Agency, avui European Union Agency for Cybersecurity, mantenint la sigla original) Threat Landscape, CCN-CERT, INCIBE i l'Agència de Ciberseguretat de Catalunya. En les seves conclusions recurrents: el ransomware continua sent l'amenaça de més impacte per a les administracions; el phishing i el compromís de credencials són els vectors d'entrada dominants; i les cadenes de subministrament i els proveïdors, el vector de creixement més ràpid.
• El seu «Top 5 de ciberamenaces» (informe del 1S del 2022), ordenat per nombre d'incidents:

1. Atacs deliberats — programari maliciós, accés no autoritzat, abús de privilegis.
2. Compromís i/o pèrdua d'informació — publicació d'informació o credencials; informació extraviada.
3. Saturació i/o pèrdua de serveis essencials — sistemes inhabilitats o saturats.
4. Coacció, extorsió o corrupció — persuasió il·legítima, intimidació, suborn.
5. Informació errònia o corrupta — contingut mal organitzat o no vàlid.

Dues cauteles. És un top 5 d'un catàleg més gran —remet al Catàleg d'amenaces de l'Agència—, així que una amenaça absent no és falsa per això; i l'ordre canvia amb el període: al 2S del 2020 encapçalava el compromís i/o pèrdua d'informació. «Quina encapçala» exigeix saber el període.

10. Marc de referència

NIST CSF 2.0 (Cybersecurity Framework 2.0), amb sis funcions: GOVERN (Govern), IDENTIFICAR, PROTEGIR, DETECTAR, RESPONDRE i RECUPERAR. La funció Govern és la novetat de la versió 2.0.

NIST SP 800-184 — guia de recuperació davant esdeveniments de ciberseguretat.

ISO/IEC 27001 i 27002 (sistema de gestió i controls de seguretat de la informació), ISO/IEC 27035 (gestió d'incidents, apartat 4) i ISO/IEC 27037 (identificació, recollida i preservació de l'evidència digital, apartat 8) són les normes de la família que aquest tema desenvolupa.

La ISO 22301 (continuïtat de negoci) no: aquí només s'anomena, perquè la recuperació posterior a un incident greu s'emmarca en el pla de continuïtat, que es desenvolupa a DRP i BCP.

Claus d'examen

• La darrera fase de la ISO/IEC 27035 és «lliçons apreses». Els distractors: «notificació a l'autoritat i afectats» (obligació del RGPD i de l'ENS, no una fase de la norma), «neteja» (l'eradicació hi és, però dins de «respostes») i «tancament incident» (concepte de gestió de serveis) (TS-TIC 2025, p. 32).
• El catàleg de tàctiques i tècniques de ciberatac és MITRE ATT&CK, contra COBIT (Control Objectives for Information and Related Technologies), que és govern de les tecnologies de la informació. L'enunciat oficial escriu el nom del catàleg amb una errata que li menja una lletra: la resposta continua sent aquesta (TS-TIC 2025, p. 86).
• Davant una sospita d'incident amb dades personals, la primera notificació és interna: pels canals del SAU al responsable de seguretat (a l'Ajuntament de Barcelona, l'IMI — Institut Municipal d'Informàtica), que avalua i documenta. No s'avisa primer el DPD ni l'APDCAT: intervenen després, i l'autoritat de control només si l'anàlisi confirma bretxa amb risc, dins de les 72 hores (TS-TIC 2023 pràctica, p. 16).
• Les confusions de tipus d'atac cauen tres convocatòries seguides i sempre en el mateix eix. Virus contra troià: la diferència és replicar-se sol, no ser malware ni ser detectable (TS-TIC 2018, p. 71). DDoS: la correcta és la xarxa de màquines que satura amb peticions, i el distractor descriu el ransomware (TS-TIC 2021, p. 77). Ransomware: bloqueig o xifratge amb petició de rescat, i el distractor és la saturació d'amplada de banda (TS-TIC 2025 pràctica, p. 22).
• Un MITM ni satura ni esgota recursos. La pregunta l'envolta de dues denegacions per esgotament —DHCP starvation i SYN flood— i d'una opció que diu que «es detecta fàcilment i no és una amenaça», falsa per definició. Es reconeix perquè escolta i s'interposa (TS-TIC 2021, p. 68).
• Un pen test simula un atac real amb permís de la persona propietària i explota les vulnerabilitats per mesurar l'impacte. Els distractors el confonen amb infectar amb un virus, llançar un DDoS de veritat o monitorar el trànsit, que és el que fa un IDS (TS-TIC 2025, p. 75).

Per recordar

• Cicle NIST: preparació → detecció i anàlisi → contenció, eradicació i recuperació → lliçons apreses.
• ISO/IEC 27035: cinc fases; la darrera és lliçons apreses.
• MITRE ATT&CK és el catàleg de tàctiques i tècniques de ciberatac. La Cyber Kill Chain és el model de fases de l'atac.
• Notificació de bretxa de dades personals: 72 hores a l'autoritat de control (RGPD, art. 33); als interessats només si hi ha alt risc (RGPD, art. 34). Totes s'han de documentar.
• Al sector públic, els incidents rellevants es notifiquen al CCN-CERT (plataforma LUCIA); amb NIS2, alerta en 24 h i notificació en 72 h.
• Ordre de volatilitat: RAM abans que disc; cadena de custòdia i imatge bit a bit amb hash.
• Pen test = simula i explota per mesurar l'impacte real; anàlisi de vulnerabilitats = només detecta i llista.
• NIST CSF 2.0: Govern, Identificar, Protegir, Detectar, Respondre, Recuperar.
• El vector d'entrada dominant continua sent el correu electrònic i el compromís de credencials.