Estrategias de Ciberseguridad para enfrentar Amenzas Emergentes

Instructor / Consultor de Fuerzas de
Ciberdefensa, Fuerzas Militares y Policía, en
varios Países.
Hacker Ético – Pentester en diversas Entidades en el
mundo, de ámbitos como el Financiero, Energético,
Militar, Inteligencia, Diplomático, Minero, entre otros
+20 Años de experiencia en Seguridad
Informática y DFIR
CEH, ECSA/LPT, CHFI, ENSA, ECSS, ECVP, CEI, QGSS,
ECIH, EDRP, NFS, OPSEC, CICP, CND, CCISO.
N
E
S
W
David Pereira

CONTENIDO
COMPUTACIÓN
COGNITIVA
FRAMEWORK
CIBERSEGURIDAD
NIST
AMENAZAS 2016
PRINCIPALES
AMENAZAS 2017
TENDENCIAS
CIBERSEGURIDAD &
ESTRATEGIAS
MACHINE LEARNING
ORIENTADO A
CIBERSEGURIDAD
N
E
S
W

Amenazas 2016
Tomado de: state-of-cybersecurity-2017-part-2_res_eng_0517.pdf ISACA
N
E
S
W

Principales Amenazas Ciberseguridad
Wannacry
• Una nueva versión de ransomware llamado Wannacry
comenzó a propagarse en mayo de 2017
• Inicialmente afectó a hospitales del Reino Unido
• Se cree que el malware proviene de Corea del Norte o fue un
intento de Falsa Bandera
• Afecta únicamente a sistemas operativos Microsoft
• El vector de ataque fue un exploit conocido como EternalBlue
(exploit que aprovecha una vulnerabilidad en protocolo SMB
(server message block) CVE-2017-0144)
N
E
S
W

Tomado de: https://www.bleepingcomputer.com/virus-removal/remove-wannacry-
wana-decryptor-ransomware
N
E
S
W
Wannacry (Mensaje)

Tomado de: https://www.bleepingcomputer.com/virus-removal/remove-wannacry-
wana-decryptor-ransomware
N
E
S
W
Wannacry (Archivos) Filename MD5 Hash Size (bytes) Compile Time Description Filetype
mssecsvc.exe
db349b97c37d22f5ea1
d1841e3c89eb4
3723264
2010-11-
20T09:03:08Z
Loader + Worm
Component
EXE
tasksche.exe
84c82835a5d21bbcf75
a61706d8ab549
3514368
2010-11-
20T09:05:05Z
Loader EXE
Unavailable
f351e1fcca0c4ea05fc4
4d15a17f8b36
65536
2009-07-14
01:12:55Z
Encryptor DLL
@WanaDecryptor@.
exe
7bf2b57f2a205768755c
07f238fb32cc
245760
2009-07-13
23:19:35Z
Decryptor EXE
Llave RSA
(Sistema
Criptográfico
Rivest Shamir y
Adleman)

Cloudbleed
• Falencia de seguridad identificada en la
plataforma de cloudflare la cual “filtró” datos
de usuarios y contraseñas
• Potencialmente pudo afectar a 3400 sitios
inicialmente
• La falencia fue parchada a las 7 horas de
descubierta
N
E
S
W

Route Hijacking
• Cuando un participante en el ruteo de Internet
anuncia un prefijo (rango de direcciones) que no
está autorizado a anunciar, se produce un
“secuestro de ruta” (route hijacking)
• Podría ser malicioso o causado por error operativo
• Casos mas recientes
o China Telecom 2010
o BackConnect 2016
o SwissIX - NOC team 2016
o Rostelecom 2017
N
E
S
W

Route Hijacking China- Telecom
En abril de 2010, AS23724 operado por China
Telecom propagó rutas erróneas durante 15
minutos:
• De un promedio de 40 prefijos pasó a 37.000
anuncios de prefijos no asignados a ellos
• Muchos sitios populares fueron afectados, como
dell.com, cnn.com, www.amazon.de,
www.rapidshare.com y www.geocities.jp,
además de muchos sitios chinos
• También sitios .mil y .gov como el Senado,
ejército, marina, fuerza aérea y otros de los EE
N
E
S
W

Route Hijacking Back Connect
En septiembre de 2016 BackConnect AS203959
(compañía de seguridad para servicios internet)
• Realizo un ataque BGP Hijack para detener
una red VDoS (servicio de estresores mas
grande en su momento)
• Junto con la red VDoS lograron detener una
red que realizaba ataques DDoS
(Denegación de servicio Distribuido)
N
E
S
W

https://dyn.com/wp-content/uploads/2016/09/82.118.233.0_24.png
N
E
S
W
BackConnect BGP
Origen

Route Hijacking SwissiX – NOC team
En Abril de 2016 se detecto un re- direccionamiento
a larga escala
• El re-direccionamiento se inicio cuando el
proveedor SwissX realizo mantenimientos hacia
NOC
• NOC Reactivo la conexión y luego reenvío los
datos de sesión causando el envío de otros
prefijos hacia SwissX
• SwissX reenvío los prefijos adicionales los cuales
se reenviaron entre los demás causando route
hijacking
N
E
S
W

Route Hijacking Rostelecom
• En Abril de 2017 Rostelecom origino un
reenvío de 50 prefijos
• En los prefijos estaban incluidos 37 sistemas
autónomos lo cual genero un route hijacking
• Entre las rutas afectadas esta MasterCard ,
Visa , Fortis , Alfa bank , HSBC , entre otros
servicios financieros
• El motivo del fallo no se conoce
N
E
S
W

Route Hijacking - Rostelecom
Tomado de https://bgpmon.net/bgpstream-and-the-curious-case-of-
as12389/

Route Hijacking
Proveedor 8122 Recibe :200.30.0.0/16
Anuncia: N proveedores
Proveedor 8121
Anuncia
200.30.0.0/16
Internet
Proveedor 8122
N- proveedores
N- proveedores

Route Hijacking
Internet
Proveedor 8122 Recibe :200.30.0/18
Anuncia: N proveedores
Proveedor 8121
Anuncia
200.30.0.0/16
N- proveedores
N- proveedores
Proveedor 9020
Anuncia
200.30.0.0/24

Route Leaks
• Un atacante podría causar un fallo en el cual se
agregan rutas nuevas especificas y se reenvíen las
rutas ya conocidas
• Esto genera un cambio en las rutas ya que el
protocolo BGP (Border Gateway Protocol) da
prioridad a rutas mas especificas
• Con este tipo de ataques se podría capturar
información , trafico e incluso enviar trafico malicioso
• Este ataque puede servir de base para un ataque de
hombre en el medio (MITM) o un ataque de
denegación de servicio distribuido (DDoS)
N
E
S
W

Route Leaks
2024:ad1::/40
Proveedor 100
2024:ad1:100:/40
Funcionamiento normal
2024:ad1::/40
2024:ad1:100:/40
Peering
Transito
2024:ad1::/40 65536
2024:ad1:100:/40 65537
Trafico a
2024:ad1::/40 va
por este punto
2024:ad1::/40
2024:ad1:100:/40
Proveedor 200
Proveedor 201

Route Leaks
2024:ad1::/40
Proveedor 100
2024:ad1:100:/40
Ataque
2024:ad1::/40
2024:ad1:100:/40
Peering
Transito
Trafico a
2024:ad1::/40 va
por este punto
2024:ad1::/40
2024:ad1:100:/40
Proveedor 200
Proveedor 201
2024:ad1:100:/40
2024:ad1::/40
2024:ad1:1::/482024:ad1::/40 65536
2024:ad1::/40 65537- 65536
2024:ad1:100::/40 65537
2024:ad1:1::/48 65537-65536

Route Leaks - Spotify
• En Marzo de 2015 el proveedor enzu filtró rutas
entre las cuales se encontraba la ruta de
spotify
• Esto permitió que se agregaran prefijos mas
específicos por lo tanto las rutas cambiaron
• Enlace :
https://blog.thousandeyes.com/finding-and-
diagnosing-bgp-route-leaks/
N
E
S
W

Route Leaks
Ruta original Route leak

Route Leaks - Google
• Los prefijos de google fueron filtrados por un
proveedor de internet de la india (Hathway) y
aceptados por el punto de Bharti Airtel
• Esto genero el reenvío de las nuevas rutas con
los prefijos de google a numerosos
proveedores de internet en el mundo
• Los servicios de google presentaron algunas
fallas durante este evento
N
E
S
W

N
E
S
W
Route Leaks- Google

Equifax
• En septiembre de 2017 se reporto oficialmente
que equifax había sido victima de ataques
informáticos los cuales comprometían la
información personal de 146 millones de
consumidores (estimado)
• El origen fue una vulnerabilidad no parchada
encontrada en el sitio web (servidor apache)
• Esta vulnerabilidad permite la ejecución de
código remoto en el servidor web
• Definir la vulnerabilidad
N
E
S
W

N
E
S
W
Equifax
Logs del servidor apache donde se evidencia el ataque
https://www.securonix.com/wp-
content/uploads/2017/09/image5.png

Petya/NotPetya
• Este malware simula ser un ransomware
• En realidad su objetivo es borrar (WIPE) o destruir los
datos almacenados del equipo victima
• Sobre-escribe los primeros 18 sectores dañando la
partición de inicio del sistema operativo (MBR –
Master Boot Record) y la tabla MFT (Master File Table)
• Afecto principalmente a Ucrania (compañías
eléctricas (Sistemas SCADA) , aeropuertos , banco
central , transportes públicos) y empresas como
merck , maersk , rosnoft
N
E
S
W
Nueva Categoría de Amenaza: WIPERS

Petya/NotPetya
• Los ataques iniciaron el 27 de junio de 2017
• En principio afecto principalmente a los
sistemas gubernamentales y públicos de
ucrania (Planta nuclear, Bancos , Metro .
Trenes, Energía , entre otros)
• Se presume que el ataque provino de una
actualización del sistema de impuestos MeDoc
(el servidor de actualización estaba
comprometido)
N
E
S
W
Nueva Categoría de Amenaza: WIPERS

N
E
S
W
Petya/NotPetya
Imagen de equipo infectado con petya
https://security.radware.com/ddos-threats-attacks/threat-
advisories-attack-reports/petya-petrwrap/

WikiLeaks - CIA
• En marzo 7 WikiLeaks publico una serie de
documentos robados de la CIA (8761)
• Estos documentos contienen información
detallada de espionaje y herramientas para
hacking
• Este grupo de información se nombro vault 7
• También se incluyen numerosos datos sobre
malware , ataques de día cero , vulnerabilidades
en Android , iOS , Windows , Mac OSX y otros
dispositivos como Smart TV
N
E
S
W
Actores Mundiales

N
E
S
W
WikiLeaks - CIA
Imagen de manual Sonic
screwdriver
https://wikileaks.org/vaul
t7/document/SonicScre
wdriver_1p0/page-
4/#pagination

Shadow Brokers
• Inicialmente aparecieron en 2016
• La identidad de los miembros del grupo es
desconocida
• Publicaron herramientas de la NSA incluyendo el
exploit eternal blue utilizado por el malware
wannacry
• Publicaron lista de servidores que podrían ser
comprometidos por equation group
N
E
S
W
Actores Mundiales

N
E
S
W
Shadow Brokers
Imagen de servidores targets de equation group
https://130e178e8f8ba617604b-
8aedd782b7d22cfe0d1146da69a52436.ssl.cf1.rackcdn.com/shad
ow-brokers-says-trick-or-treat-over-attack-tool-leak-
showcase_image-10-a-9494.jpg

Shadow Brokers – Tabla de Exploits Revelados
Nombre Tipo Objetivo CVE Parchado? Servicio
EARLYSHOVEL Exploit REDHAT 7.0/7.1
EASYBEE Exploit MDAEMON
EASYPI Exploit LOTUS MAIL
EBBISLAND/EBBSHAVE Exploit SOLARIS 6-10
ECHOWRECKER Exploit LINUX CVE-2003-0201?
ECLIPSEDWING Exploit SERVER SERVICE CVE-2008-4250
Addressed by MS08-
067
(TCP 445) SMB/
(TCP 139) NBT
EDUCATEDSCHOLAR Exploit SMBv2 CVE-2009-3103 (TCP 445) SMB
EE Exploit Proftpd 1.2 CVE-2011-4130
EMERALDTHREAD Exploit SMB CVE-2010-2729
(TCP 445) SMB/
(TCP 139) NBT
EMPHASISMINE Exploit LOTUS DOMINO CVE-2017-1274 (TCP 143) IMAP
ENGLISHMANSDENTIST Exploit
OUTLOOK
EXCHANGE
WEBACCESS
(TCP 80)
HTTP/(TCP 443)
HTTPS
EPICHERO Exploit
AVAYA CALL
SERVER Solv

Shadow Brokers – Tabla de Exploits Revelados
Nombre Tipo Objetivo CVE Parchado? Servicio
ERRATICGOPHER Exploit
DCE-RPC
MIBEntryGet (TCP 445) SMB
ESKIMOROLL Exploit KERBEROS SERVICE CVE-2014-6324
(TCP 88)
KERBEROS
ESTEEMAUDIT Exploit RDP CVE-2017-0176 (TCP 3389) RDP
ETERNALCHAMPION Exploit SMBv1/SMBv2?
CVE-2017-0146,
CVE-2017-0147 (TCP 445) SMB
ETERNALROMANCE Exploit SMBv1 MS17-010
ETERNALSYNERGY Exploit SMBv3 (TCP 445) SMB
ETERNALBLUE Exploit SMBv1+SMBv2/NBT
CVE-2017-
014{3,4,5,6,8}? CVE-
2017-0145? (TCP 445) SMB
ETRE Exploit IMAIL
EWOKFRENZY Exploit LOTUS DOMINO CVE-2007-1675 (TCP 143) IMAP
EXPLODINGCAN Exploit
IIS5.0?/6.0
(WEBDAV) CVE-2017-7269
(TCP 80)
HTTP/(TCP 443)
HTTPS
FUZZBUNCH Tool
ODDJOB Tool
ZIPPYBEER Exploit SMB (TCP 445) SMB

Herramientas de NSA Filtradas - Kaspersky
• Un “contratista de la NSA” descargo malware al intentar activar
ilegalmente Microsoft office
• El malware de origen ruso funcionaba como puerta trasera
(backdoor) por lo cual permite acceder al equipo y robar
información (se cree que ciberdelincuentes de origen ruso
accedieron a la aplicación)
• La persona al estar infectada analiza el equipo y con base al
reporte kaspersky conoce la existencia de las herramientas ya
que son detectadas como sospechosas
• Los datos principales identificados hasta el momento son:
técnicas de hacking de la NSA y el código fuente de una
aplicación utilizada por equation group
N
E
S
W
Actores Mundiales

N
E
S
W
Herramientas de NSA Filtradas - Kaspersky
Comparativo entre herramientas tomadas por shadowbrokers y las
herramientas tomadas del equipo del contratista NSA (tomado de Kaspersky
LAB)

N
E
S
W
Aumento de ataques vía
ransomware
Nuevos Ataques o
mecanismos de ataques mas
complejos que afecten a los
gobiernos
.
Mejorar controles y
medidas de seguridad
para las nubes
.
Mejoras en computación
cognitiva y machine learning.
Aumento de
ciberconflictos entre
naciones.
Tendencias Ciberseguridad

N
E
S
W
Mejorar medidas de
seguridad y controles
para los dispositivos
IoT* y OT*, son un
potencial vector de
ataque debido a los
nuevos usos (Amazon ,
UPS , Otros)
Ampliar Uso de
CARTA
(Continuous
Adaptive Risk
and Trust
Assessment)
Combinación
de soluciones
para mejorar
seguridad
EJ: SIEM-UEBA
Mayor uso de
blockchains:
cadenas de
bloques que evitan
modificación de un
dato publicado
.
Uso de Robohunters:
Maquinas que
analizan la red en
busca de cambios
(posibles
amenazas)
.
Estrategias Ciberseguridad
IOT= Internet de las cosas
OT=Tecnología Operacional EJ:
Infraestructura critica (SCADA)
SIEM= Software de información de seguridad y gestión de eventos
UEBA= Software de Análisis de comportamiento de entidades y
usuarios

Ejecutar programa de
seguridad estandarizado
EJ: Framework NIST
Habilitar un centro de
operaciones de
Seguridad (SOC)
Utilización del conocido
esquema de seguridad
“Zero Trust”
Incluir programa de
madurez para caza de
amanazas (threat hunting
maturity program)
N
E
S
W

Mejorar medidas de seguridad y controles para los dispositivos
IoT* y OT*, son un potencial vector de ataque debido a los
nuevos usos (Amazon , UPS , Otros)
• Mantener Dispositivos Parchados con las ultimas actualizaciones
• Dispositivos IoT deben manejar antivirus , estar bajo una red
protegida , verificar que puertos y opciones de conectividad que
no estén en uso (Wireless, ethernet , airdrop , usb ) estén
deshabilitadas
• Las redes para dispositivos OT ej: SCADA deben estar protegidas ,
en lo posible limitar las conexiones de internet y mantenerlas en
una red virtual aparte de la red principal
• Manejar guías o estándares que apliquen seguridad hacia
dispositivos OT
N
E
S
W

Mejorar controles y medidas de seguridad para las nubes
• Manejar políticas de contraseñas para los usuarios que acceden
a la información en las nubes , autenticación de dos factores
• Manejar perfiles de usuario
• Cifrar contenido cargado a la nube
• Utilizar políticas de tratamiento de datos
• Utilizar servicios pagos que brinden mecanismos de seguridad
• Realizar pruebas de seguridad (Pentest , entre otros) a los servicios
en nube y las conexiones para subir / bajar información
N
E
S
W

Ampliar Uso de CARTA (Continuous Adaptive Risk and Trust
Assessment)
CARTA maneja ciertos conceptos:
• Todos los dispositivos y sistemas deben ser considerados
potencialmente comprometidos
• Por lo tanto los comportamientos de todos los elementos de la red
deben ser evaluados ante riesgos o violaciones de confianza
• Los usuarios (y demás entidades) al autenticarse solo deben tener la
confianza (rol) necesario para cumplir la acción que solicita y sus
comportamientos son verificados continuamente en busca de riesgos o
alteraciones
• El éxito de carta radica en una buena gestión , manejo de riesgos y los
controles de seguridad en una organización
N
E
S
W

Combinación de soluciones para mejorar seguridad
EJ: SIEM-UEBA-SOAR
• UEBA = Software de Análisis de comportamiento de entidades y usuarios
• SOAR= Security Operations, Analytics and Reporting
• UEBA analiza los comportamientos de potenciales insiders en la institución
(empleados , contratistas , entre otros) y puede identificar vulnerabilidades de
seguridad en los activos de las organizaciones que contienen datos confidenciales
• En conjunto con dispositivos SIEM abarcan un campo mayor a nivel de seguridad en
las organizaciones
• Se estima en los próximos años que los dispositivos SIEM tengan el complemento UEBA
por defecto sin necesidad de adquirir el software por aparte
N
E
S
W

Uso de Robohunters: Maquinas que analizan la red en
busca de cambios (posibles amenazas)
• Son maquinas automatizadas que por medio de
inteligencia artificial pueden tomar decisiones como
un humano (manejo de amenazas)
• Ellos aprenden con el comportamiento de la red
• Si detectan una anomalía en la red : ej archivo
malicioso o paquetes alterados el dispositivo esta en
capacidad de tomar la decisión adecuada para
detener la anomalía
N
E
S
W

Habilitar un centro de operaciones de Seguridad (SOC)
• Es una central dedicada a monitorear , proteger y
defender los sistemas de una organización
• Para implementar un SOC se requiere una
planeación detallada , precisa y un centro de
operaciones donde se alojen los equipos y
dispositivos
• Debe contar con seguridad física , Firewalls , IDS-IPS ,
SIEM-UEBA entre otros
N
E
S
W

Utilización del conocido esquema de seguridad “Zero Trust”
Es un modelo en el cual no se confía en ningún dipositivo , solamente se
verifican antes de permitir acceso
Para Implementar Zero-Trust se requiere:
• Identificar los datos sensibles de la organización
• Hacer mapas de flujos de información sensible
• Arquitectura de la red
• Crear Base de Reglas automatizadas (control de accesos , políticas de
inspección , otros)
• Monitoreo continuo del trafico
N
E
S
W

Incluir programa de madurez para caza de amanazas (threat hunting maturity program)
Nivel 0
(Inicial)
Nivel 1
(Reactivo)
Nivel 2
(Definido)
Nivel 3
(Repetible)
Nivel 4
(Integrado)
Nivel 5
(Optimizado)
Talento No tiene
desarrollo de
carrera
No existe
programa de
entrenamiento
El desarrollo de
carrera esta mal
documentado
Programas de
entrenamiento
documentados
Expectativas y
descripciones de
roles son
documentadas
Desarrollo de
carrera esta
dcoumentado y
comunicado
Un plan de
reclutamiento y
entrenamiento esta
en regla
Un desarrollo de
carrera formalizada
y en constante
desarrollo
Un plan de
enteramiento para
todos los niveles
esta establecido
Estadísticas de
eficiencia del
grupo de trabajo
son identificadas
Un plan de
sucesión de
puestos esta
creado
Los objetivos clave de
todas las áreas de
trabajo se alcanzan
constantemente
Los objetivos del grupo
de trabajo y sus áreas
son constantemente
evaluados
Datos Se desconocen
puntos de
visualización de
fuentes de
datos
Los puntos de
visualización de
fuentes de datos
son particularmente
comprendidos
puntos de
visualización de
fuentes de datos
son documentados
Fuentes de datos
son documentadas
Herramientas de
recolección
permiten colección
activa de datos
Medidas para la
ubicación de
fuentes de datos
confiables
(calidad) están
disponibles para
resultados actuales
Herramientas de
recolección de
datos
automatizadas
Técnicas de
recolección
incluyen ciencia
de datos
Estándares para la
empresa son
documentados y
socializados
Automatización de las
técnicas de
recolección
Todas las operaciones
incluye ciencia de
datos

Incluir programa de madurez para caza de amenazas (threat hunting maturity program)
Nivel 0
(Inicial)
Nivel 1
(Reactivo)
Nivel 2
(Definido)
Nivel 3
(Repetible)
Nivel 4
(Integrado)
Nivel 5
(Optimizado)
Metodología No existen
metodologí
as de
trabajo
Metodología
de trabajo es
identificada
Respuesta a
incidentes
mínima
un marco de
trabajo es
definido y
formalizado
Respuesta a
incidentes
moderada
Documentació
n constante
Datos
analíticos son
compartidos
con el área de
respuesta a
incidentes
Programa de
detección de
amenazas es
evaluado y
validado
constantemente
Métricas
(Estadísticas)
No se
identifican
indicadores
Indicadores
son
identificados
Reportes
iniciales son
creados
Métricas son
precisas y
comunicadas
Las métricas son
ubicadas y
reportadas en
un cronograma
Mejoras son
priorizadas por
áreas con base
a las
estadísticas
Objetivos basados
en estadística son
alcanzados
constantemente
por todas las
áreas

Secure BGP & RPKI
• BGP=Protocolo mediante el cual se intercambia
información de encaminamiento entre sistemas
autónomos.
• RPKI=Es una certificación de recursos basado en
una infraestructura de clave Pública (PKI); Combina
la jerarquía que asigna recursos de los RIR (Regional
Internet Registry) con el uso de Certificados
Digitales basados en X509.
N
E
S
W

Sesión BGP para Anunciar Redes
Router A
AS 3005
192.0.5.0
router bgp 3005
network 192.0.5.0
neighbor 200.30.20.11 remote-as 4005
200.30.20.10 200.30.20.11
200.30.20.0/30
Router B
AS 4005
198.45.32.0
router bgp 4005
network 198.45.32.0
neighbor 200.30.20.10 remote-as 3005

N
E
S
W
RPKI
R
O
A
Recursos Mundiales IPV4 IPV6
R
O
A
R
O
A
R
O
A
R
O
A
RIPE NCC ARIN LACNIC APNIC AFRNIC
APP Validación
RTR
BGP
RPKI
Info
BGP
NLRI
RUTAS
Validas
Indeterminadas
Invalidas
Tabla de BGP

Secure BGP & RPKI
• Propone como solución validar los orígenes de las
rutas
• Define una infraestructura de clave pública
especializada para ser aplicada al enrutamiento
(En particular, para BGP lo cual mejora fallas
existentes)
• Utiliza certificados X509 para proteger la
transmisión de datos
N
E
S
W

BGP & RPKI
• Los ISPs u organizaciones pueden definir y firmar los
anuncios de rutas que autorizan realizar
• Es un gran paso hacia un enrutamiento más seguro
• Mitiga la posibilidad de recibir Route hijacking
N
E
S
W

Ciberdefensa Adaptativa
El objetivo es incorporar integración segura , soluciones
automatizadas en los sistemas de Ciberdefensa y centro
de operaciones (SOC) para mejorar prevención de
ataques , preparación de la comunidad y tiempos de
respuesta . Soporta estos conceptos :
• Capacidad de obtener el máximo de la
infraestructura de seguridad existente (Bring your own
Enterprise BYOE)
• Capacidad de incorporar nueva tecnología sin
importar el proveedor (plug and play)
• Las tecnologías combinadas en uso deben soportar
los estándares y procesos de operaciones de la
organización – interoperabilidad entre soluciones
N
E
S
W

Framework de Ciberseguridad NIST
• Grupo de políticas que sirven de guías para gobiernos
y empresas
• Estas guías ayudan a detectar , prevenir y responder
hacia ciberataques
• Este framework se divide en áreas , cada área maneja
categorías y subcategorías:
• Identificar
• Proteger
• Detectar
• Responder
• Recuperar
N
E
S
W

Framework de Ciberseguridad NIST
Identificar Proteger Detectar Responder Recuperar
Gestión de
Activos
Ambiente de
Negocios
Organigrama
Gestión de
Riesgos
Estrategia manejo
de riesgos
Controles de
Acceso
Entrenamiento -
Conciencia
Seguridad de los
datos
Protección procesos
y procedimientos
Mantenimiento
Eventos y
Anomalías
Monitoreo continuo
de seguridad
Procesos de
Detección
Planeación
responsable
Comunicaciones
Análisis
Mitigación
Mejoras
Plan de
recuperación
Mejoramiento
Comunicaciones
Tecnologías de
protección

Inteligencia Artificial
• Capacidad de Una Máquina para imitar el
comportamiento humano inteligente
• Desde un Robot jugando Ajedrez hasta la
tecnología de reconocimiento de voz de
Alexa o Siri
N
E
S
W

Machine Learning
• Subdivisión de IA
• Toman una gran cantidad de datos, los
analizan y aprenden de ellos
• Se reconocen patrones, discursos, y se hacen
predicciones
• Permite que los computadores aprendan
sin haber sido explícitamente programados
para una tarea puntual;
• Deep Blue NO usaba Machine Learning
N
E
S
W

Machine Learning
• Deep Learning es una subdivisión de Machine Learning
• Se alimentan datos dentro de Redes Neurales que
aprenden las características de algo; Ej. Un Rostro
Humano;
• De esta forma el reconocimiento facial
encuentran quien está en tus fotos basados en Tags;
• Con esta tecnología DeepMind –AlphaGo de Google
venció a Lee Sedol en 2016
• AlphaGo estudió 30 millones de movimientos humanos
en GO y comenzó a aprender jugando contra si
misma;
N
E
S
W

Machine Learning Orientado a Ciberseguridad
Machine
Learning
Aprendizaje
Dirigido
Aprendizaje
No Dirigido
Tipos de Aprendizaje Clasificación de Algoritmos
Clasificación
Regresión
Agrupamiento
(clustering)
Soporte
Máquinas
Vectores
Análisis
Discriminante
Naive
Bayes
(algoritmo)
Vecino
más
Próximo
Regresión
Lineal
GLM*
SVR*
GPR*
Métodos
De
Conjunto
Arboles
De
Decisión
GLM= Modelo Lineal Generalizado
SVR= Regresión vectorial de apoyo
GPR= Regresión del proceso Gaussiano
Redes
Neurales
Kmeans, Kmedoids,
fuzzy , C-Means
(Metodos de
Agrupamiento)
Agrupamiento
Jerarquico
Mixture Model
(modelo
probabilístico)
Redes
Neurales
Modelo Oculto de
Markov (HMM)
Aprendizaje Dirigido
El aprendizaje se basa en modelos
(algoritmos) de entrada de datos y
categorías
Con este modelo cada vez que entra
un dato la maquina genera una
respuesta
• Ej: sistema de filtrado SPAM Google
Aprendizaje no Dirigido:
No se utilizan modelos ni categorías de
entrada
Con el algoritmo principal de la
maquina se procesa la entrada y
genera sus propios patrones o
anomalías para crear el modelo
• Ej: El funcionamiento de las
neuronas (sistema nervioso)

Machine Learning Orientado a Ciberseguridad
Usos en ciberseguridad:
ü Detección , modelamiento de Amenazas
ü Detección de anomalías
ü Campañas de Ingeniería social
ü Análisis de trafico en red
ü Codificación
ü Prevención de APT´s (Amenaza persistente
avanzada) y Ataques de día cero
N
E
S
W

N
E
S
W
Machine Learning Orientado a Ciberseguidad
Usos en Ciberseguridad
Tomado de:
http://www.iisp.gatech.edu/sites/default/files/images/ma
chine_learning_cyber_02.jpg)

Computación Cognitiva
• Rama derivada de la inteligencia artificial la cual puede
comprender y emular el funcionamiento de la inteligencia
humana
• Involucra sistemas que manejen autoaprendizaje (machine
learning) los cuales utilizan minería de datos (data mining)
• Actualmente se utilizan en aplicaciones de inteligencia artificial
, sistemas expertos , redes neurales , programación de lenguaje
natural , robótica , realidad virtual entre otros
• Uno de los equipos mas modernos en este campo es el Sistema
Watson creado por IBM la cual se utiliza en algunos sectores
como el financiero y salud
N
E
S
W
Tomado de:
https://image.slideshare
cdn.com/computacion
cognitiva-
141022075101-
conversion-
gate02/95/computacio
n-cognitiva-20-
638.jpg?cb=1413964534

Computación Cognitiva
Tomado de: http://mse238blog.stanford.edu/wp-content/uploads/2017/07/IBM-Roadmap-
Medium.png

Objetivo
Sustituir las entidades de confianza central
(bancos) por una comunidad que gestion
confianza distribuida de transacciones ban
determinadas
BlockChains
Tecnología basada en criptomoneda
la cual nos permite realizar
transacciones bancarias de forma
segura
El Futuro es AHORA!!!
Seguridad
Utiliza criptografía y otros códigos para brindar
seguridad a las transacciones realizadas

N
E
S
W
BlockChains
El futuro es AHORA!!!
Tomado de: http://www.comunicarseweb.com.ar/noticia/que-es-
blockchain-y-por-que-puede-revolucionar-la-sustentabilidad

N
E
S
W
N
E
S
W
N
E
S
W
Mejoras a ciberseguridad
Se estima adoptar algunas bases propuestas en
blockchains mejorando la ciberseguridad a nivel
mundial ej: si se hace una mejora en la resolución
DNS se podrían erradicar ataques DDoS
Desvío de Ciberataques
BlockChains proporciona varios métodos para
detector y evitar ataques , se trabaja
actualmente en mejorar los esquemas de los
servidores DNS actuales
Mecanismos de
autenticación Seguros
Los usuarios utilizarían metadatos y
token reemplazando correos y otros
métodos de autenticación
BlockChains &
Ciberseguridad

Enlaces
• https://www.csoonline.com/article/3153707/sec
urity/top-5-cybersecurity-facts-figures-and-
statistics-for-2017.html
• https://www.wired.com/story/2017-biggest-
hacks-so-far/
• https://www.fireeye.com/blog/threat-
research/2017/05/wannacry-malware-
profile.html
• https://thehackernews.com/2017/06/petya-
ransomware-wiper-malware.html
• https://wikileaks.org/vault7/
• https://insights.sei.cmu.edu/sei_blog/2017/06/ma
chine-learning-in-cybersecurity.html
N
E
S
W

Enlaces
• https://securelist.com/the-equation-giveaway/75812/
• https://es.slideshare.net/carlostoxtli/computacion-
cognitiva
• https://www.slideshare.net/YannLecourt/cognitive-
computing-insurance
• https://www.infotransec.com/news/analysis-2017-
equifax-data-breach
• https://www2.dimensiondata.com/it-
trends/cybersecurity-2018
• https://blog.netwrix.com/2017/08/03/top-it-security-
trends-to-keep-an-eye-on-part-1-understanding-carta-
approach/
• https://www.nist.gov/sites/default/files/documents////d
raft-cybersecurity-framework-v1.11.pdf
N
E
S
W

Estrategias de Ciberseguridad para enfrentar Amenzas Emergentes

Estrategias de Ciberseguridad para enfrentar Amenzas Emergentes

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (20)

Similar a Estrategias de Ciberseguridad para enfrentar Amenzas Emergentes

Similar a Estrategias de Ciberseguridad para enfrentar Amenzas Emergentes (20)

Más de Secpro - Security Professionals

Más de Secpro - Security Professionals (17)

Último

Último (20)

Estrategias de Ciberseguridad para enfrentar Amenzas Emergentes