http:www'antel'com'uy

1
Experiencia de Implantación de un CSIRT en
ANTEL Uruguay
Carlos Marcelo Martínez carlosm_at_csirt-antel.com.uy
Gonzalo Stillo gonzalo.stillo_at_csirt-antel.com.uy

http//www.antel.com.uy http//www.csirt-antel.com
.uy
2
Agenda

• ANTEL en Contexto
• Incidentes de seguridad un dato de la realidad
• Cómo enfrentarlos
• Proceso de formación del CSIRT de ANTEL
• Situación actual y próximos hitos

3
ANTEL en Contexto

• ANTEL es una empresa de telecomunicaciones, por
  lo que tiene una fuerte componente de IT
• Monopolio de la telefonía básica
• Unidades de Negocio en competencia
• Datos
• Celular

4
ANTEL en Contexto (II)?

• Operador dominante en el mercado en todas las
  áreas donde ofrece servicios
• Datos 80 del mercado
• Celular gt50 del mercado
• Actor de gran influencia en cualquier aspecto de
  TIC en Uruguay
• El apoyo al desarrollo de la industria del
  software nacional es política de Estado

5
Incidentes de seguridad

• Internet ha revolucionado la forma de hacer
  negocios pero, también han introducido nuevos
  riesgos
• No es una opción dejar de brindar servicios por
  Internet
• Debemos en consecuencia reconocer y asumir que la
  seguridad total no existe
• El impacto de los incidentes es cada vez más
  significativo, en ocasiones pone en riesgo la
  continuidad del negocio de las organizaciones
• Cambio de móvil, de buscar prestigio a buscar
  ganancia económica
• Debemos a su vez aprender a tomar los incidentes
  de seguridad como un dato de la realidad y a
  tratar con ellos

6
Difusión de herramientas, complejidad e impacto
de su uso
Phishing, Pharming XSS
Pocas personas accediendo a herramientas
complejas y de impacto limitado

DDoS
Gusanos, troyanos, virus
Muchas personas accediendo a herramientas de
fácil uso y de impacto importante
Scanning
Sniffers
1995
2005
1990
2000
7
Enfrentando un Incidente de Seguridad

• Detectar los incidentes
• A veces no es tan obvio como podría parecer
• Incidentes deben quedar definidos en función de
  las políticas de seguridad de la organización
• La óptica de las areas de OM
• Su premisa básica es la disponibilidad del
  servicio
• En dicho contexto, se busca minimizar el tiempo
  medio de reparación
• La óptica del equipo de seguridad
• Su premisa es entender que está pasando, de
  manera de minimizar su impacto, cuantificar los
  daños que el incidente ha provocado y eliminar la
  posibilidad de re-ocurrencia

8
Enfrentando un incidente de seguridad (II)?

• La realidad marca que en la mayoría de los casos
  los incidentes de seguridad involucran a varios
  sectores de una empresa
• Infraestructura lt-gt Celular lt-gt Datos
• Los sistemas son cada vez más especializados y
  las relaciones de trabajo son cada vez mas
  dinámicas, lo que provoca problemas de
  comunicación y coordinación entre especialistas y
  grupos de trabajo
• Tercerización
• Asociados de negocios
• Empleados

9
Enfrentando un incidente de seguridad

• No necesariamente la suma de los mejores
  esfuerzos de cada una de las partes involucradas
  en un incidente de seguridad redunda en el mejor
  resultado en cuanto a analizarlo y combatirlo
• Porque,
• pueden haber intereses distintos
• Por ejemplo restablecer el servicio vs. analizar
  qué está pasando
• se puede duplicar, triplicar, ... el esfuerzo
• se pierde tiempo tratando de coordinar o por no
  coordinar
• puede perderse información valiosa (evidencia)?

10
Proceso de formacion del CSIRT ANTEL

• Identificación de la necesidad
• Propuesta de solución
• Formación y comienzo de operaciones

11
Identificación de la Necesidad

• ANTEL es víctima de una serie de incidentes de
  seguridad
• Todos tratados de forma diferente por personas y
  equipos diferentes
• Predomina la óptica de OM
• Algunos no identificados como incidentes de
  seguridad hasta pasado mucho tiempo
• Fuerte componente horizontal en los incidentes,
  aparecen problemas de integración
• Surge la necesidad de uniformizar criterios y
  mejorar la forma en que la organización reacciona
  ante incidentes

12
La propuesta hecha a la Gerencia

• Un equipo de personas que se dedica a gestionar
  los incidentes de seguridad de forma ágil, con
  criterios únicos y de acuerdo a procedimientos
  pre-establecidos
• Un equipo que incorpore know-how presente en la
  organización horizontalmente
• Alejados del frente de batalla de OM, sin
  interferir en el y apoyando a OM

13
Creación del CSIRT de ANTEL

• Crear un CSIRT (Computer Security Incident
  Response Team) parece entonces cumplir con los
  requisitos de la propuesta
• De acuerdo a los documentos y a la metodología
  impulsada por el CERT/CC de Carnegie-Mellon
• Un CSIRT es (entre otras cosas)?
• Una organización que presta servicios a una
  comunidad objetivo

14
Creación del CSIRT de ANTEL (II)?

• Organización
• Implica un equipo bien definido, con ubicación en
  el organigrama de la empresa
• Servicios
• Los servicios deben adecuarse a las necesidades
  de la empresa. Deben estar claramente
  especificados y adecuadamente difundidos
• Comunidad Objetivo
• Los servicios deben ser prestado a una comunidad
  bien definida y que sea compatible con la misión
  del CSIRT

15
Organización

• Equipo técnico de composición interdisciplinaria
• Integrantes provenientes de la Corporación y de
  las unidades de negocio
• Reporta al CE
• Comité Ejecutivo
• Formado por representantes de SI corporativa y de
  las unidades de negocio
• El CE reporta directamente al Directorio de la
  empresa

16
Comunidad Objetivo y Alcance del Centro

• Se definió como
• Todos los sistemas de ANTEL incluyendo a sus
  unidades de negocio y subsidiarias
• Los mayores clientes de las unidades de negocio
• Se llevó adelante un proceso de identificación de
  la comunidad objetivo
• Alcance
• Incidentes que superen un cierto umbral de
  perjuicio económico estimado, incluyendo costos
  de imagen y de lucro cesante

17
Servicios Ofrecidos

• Reactivos
• Alertas
• Manejo de incidentes
• Proactivos
• Anuncios
• Detección proactiva
• de incidentes
• Elaboración de políticas y best practices

• Valor agregado
• Capacitación y entrenamiento
• Análisis de riesgo
• Consultoría en seguridad
• Concientización de la comunidad en temas de
  seguridad

18
Hitos
2004
2005
2006

• Detección y convencimiento de su necesidad
  (segunda mitad del 2004)?
• Incremento en la cantidad de incidentes, en su
  complejidad y en su impacto.
• Convencimiento a la alta gerencia y al directorio
  (primera mitad del 2005)?
• El retorno de la inversión (no gasto) en
  seguridad no siempre se identifica fácilmente.

19
Hitos
2004
2005
2006

• Integrantes iniciales (segunda mitad del 2005)?
• Comité ejecutivo (3)?
• Equipo técnico (5)?
• Capacitación (segunda mitad del 2005 ...)?
• cert.br
• Creación y administración de CSIRTs
• Manejo de incidentes

20
Hitos
2004
2005
2006

• Identificación de comunidad objetivo o
  constitución (segunda mitad del 2005)?
• Antel es la empresa de telecomunicaciones del
  estado y cuenta con aprox. 4.500 empleados
• AntelData
• Proveedor de servicios de datos
• 80 del mercado local
• Más de 50.000 clientes banda ancha (ADSL)?
• Más de 250.000 usuarios de correo electrónico

21
Hitos
2004
2005
2006

• Identificación de comunidad objetivo o
  constitución (segunda mitad del 2005)?
• Ancel
• Proveedor de servicios basados en redes celulares
• 60 del mercado local
• Más de 600.000 clientes
• GSM, GPRS, EDGE, PTT over Celular
• Principales clientes de AntelData y Ancel.

22
Hitos
2004
2005
2006

• Definición de servicios a brindar (Q1 2006)?
• Manejo de incidentes, alertas, políticas y best
  practices, capacitación, entrenamiento
• Difusión interna (Q1 2006 ...)?
• Directorio, alta gerencia.
• NOCs
• Procedimientos e infraestructura ( Q1 2006 ...)?
• Manejo de incidentes (Q1 2006 ...)?

23
Hitos
2004
2005
2006

• Difusión externa (primera mitad 2006 ...)?
• Convenio con la Facultad de Ingeniería de la
  Universidad de la República
• Participación en la creación del CERT UY
• Otros actores públicos y privados

24
Beneficios esperados

• Proveer a la comunidad objetivo un punto de
  contacto para reportar incidentes de seguridad
• Dar respuesta coordinada a los mismos
• La existencia de coordinación en la respuesta
• Disminuye los tiempos de reacción de todos los
  actores
• Disminuye el impacto y el costo de recuperación
  en las organizaciones integrantes de la comunidad
• Aumenta la resiliencia de las empresas a las
  crisis en sus sistemas de información

25
Situación actual

• El CSIRT de ANTEL se encuentra operativo
• Ha resuelto más de 40 incidentes de seguridad
  informática durante 2006
• Algunos de ellos de gran significancia,
  obteniendo reducciones en las resoluciones de los
  incidentes de hasta dos días de disponibilidad
  promedio
• Se ha realizado informática forense para otros
  organismos del Estado
• Insertándose en la comunidad

26
Inserción en la Comunidad

• ANTEL considera que la inserción del grupo de
  respuesta en la comunidad de la Seguridad a nivel
  nacional e internacional es estratégica
• Inserción nacional
• Llevar la aplicación de la metodología a nivel
  nacional con la creación de un CERT nacional
• Inserción internacional
• Aplicar para ser miembro del FIRST

27
FIRST

• Forum Of Incident Response Security Teams
• Organización internacional que agrupa grupos de
  respuesta
• Membresía mediante dos sponsors
• Dos equipos que ya sean miembros
• Al menos uno de los sponsors debe realizar una
  auditoría in situ
• Proceso valioso en sí mismo!

28
Equipos de respuesta a incidentesFuente FIRST
11/06

Europa 75
Estados Unidos 71
Canadá 10
Asia y Oceanía 22
América Latina 6
África 0
184 Equipos en 36 países
29
Conclusiones

• Creación de equipo CSIRT como respuesta a una
  necesidad identificada
• Es necesario un período de maduración y
  capacitación
• Estructura organizativa de acuerdo a las
  necesidades e idiosincrasias de la organizacion
  madre
• Preservando independencia y objetividad
• Buscando formar equipos interdisciplinarios

30
Conclusiones (II)?

• Se debe trabajar para ser percibido como un
  aliado y no como un enemigo por parte de la CO
• Inserción local e internacional
• Generación de vínculos

31
Muchas gracias por su atención!
Carlos Marcelo Martínez carlosm_at_csirt-antel.com.uy
Gonzalo Stillo gonzalo.stillo_at_csirt-antel.com.uy

http//www.antel.com.uy http//www.csirt-antel.com
.uy
32
Muchas gracias por su atención!
Carlos Marcelo Martínez carlosm_at_csirt-antel.com.uy
Gonzalo Stillo gonzalo.stillo_at_csirt-antel.com.uy

http//www.antel.com.uy http//www.csirt-antel.com
.uy