Tips básicos para análisis y detección de incidentes de seguridad en servidores

  1. Analice en los registros de eventos, de aplicaciones y de seguridad en búsqueda de eventos inusuales o que no tenga sentido que existan.
  2. Revise la configuración de red y conexiones, identifique y anote configuraciones anómalas, sesiones y puertos  abiertos  sospechosos.
  3. Revise la lista de cuentas de usuarios y/o administradores que no debería acceder al servidor.
  4. Revise la lista de procesos en ejecución y trabajos programados y anote los que no deberían estar ejecutados o que le parezcan sospechosos.
  5. Busque aplicaciones inusuales configuradas para ejecutarse automáticamente  al inicio del sistema.
  6. Compruebe la configuración de DNS y ARP así como el archivo de hosts para identificar entradas no validas o sospechosas.
  7. Utilice  un sniffer de red para monitorear actividad sospechosa.

 

Detección de incidente de  seguridad, ¿qué hacer?

  1. No entre en pánico y concéntrese en la detección, tome nota para realizar un análisis exhaustivo de lo que observó y así evitar  errores por descuido.
  2. Para conservar las huellas (footprint) de un atacante, evite instalar aplicaciones o acceder a archivos después del incidente de seguridad detectado.
  3. Notifique a su jefe inmediato.
  4. Involucre a un especialista en respuesta a incidentes (CSIRT).
  5. Si detecta un ataque en tiempo real, desconecte el servidor de la red pero NO REINICIE NI APAGUE EL EQUIPO.
  6. Evite enviar información del incidente por correo electrónico o mensajería instantánea sin cifrado.
  7. No comparta detalles de lo sucedido con personas fuera del equipo de respuesta a incidentes.
Cómo …   comandos Windows   unix
Revisar el registro de eventos   Eventvwr   wtmp,who,last,lastlog
.        
Examinar la configuración de red   arp -a , netstat -nr   arp -an,route print
.        
Examinar  conexiones de red   netstat -nao, netstat -vb, net session, net use   netstat -nap, nestat -na,
.        
Examinar conexiones de usuarios y grupos   lusrmgr, net users,net localgroup administrators, net group administrators   more /etc/passwd
.        
Examinar  tareas programadas   schtasks   more /etc/crontab, ls /etc/cron.* ,ls /var/at/jobs
.        
Examinar aplicaciones  de inicio automático   msconfig   chekconfig –list, ls /etc/rc*.d
.        
Listar procesos   taskmgr,wmic process list full   ps aux
.        
Listar servicios   net start, tasklist/svc    
.        
Examinar DNS y archivo de hosts   more %SystemRoot%\System32\Drivers\etc\hosts ,ipconfig/displaydns   more /etc/resolv.conf, more /etc/hosts
.        
Verificar  archivos modificados recientemente   dir /a/o-d/p %SystemRoot%\System32   ls -lat

Espero les sea de utilidad.

[email protected]