REYES, herramienta fundamental para mi día a día - Francisco Hernández Cuchí (Ayuntamiento de Mad...

CCN

21 Dec 202319:19

Summary

TLDREl script de video ofrece una sesión de demostración y discusión sobre herramientas de seguridad cibernética, particularmente enfocado en la utilidad de 'Reyes' como un agregador de fuentes de inteligencia para la investigación de amenazas. Francisco Hernández, de la operaciones ciber del ayuntamiento de Madrid, comparte su experiencia con esta herramienta y cómo ha mejorado la recolección de información sobre amenazas, dominios y IP. Destaca su capacidad para manejar grandes volúmenes de datos y cómo ha sido fundamental en la toma de decisiones de seguridad, así como su integración con otras herramientas como Jira. El discurso está interrumpido por varios problemas técnicos, pero sigue con ejemplos prácticos y consejos para abordar falsos positivos y la gestión de amenazas en un entorno de trabajo remoto.

Takeaways

🎥 El video es una presentación sobre el uso de la herramienta 'Reyes' para la gestión de incidentes cibernéticos en el ayuntamiento de Madrid.
🛡️ La herramienta 'Reyes' se utiliza para recopilar información sobre amenazas y es fundamental para la investigación, especialmente en la fase de recopilación de datos sobre IPs, dominios y amenazas.
🔎 'Reyes' actúa como un agregador de fuentes de inteligencia cibernética, proporcionando información detallada sobre dominios y subdominios, y es capaz de mostrar la historia de un dominio y su actividad reciente.
💡 Se menciona la importancia de la herramienta para la detección de falsos positivos y la discriminación de tráfico malicioso, como se ve en ejemplos de alertas de EDR.
📈 La presentación demuestra cómo 'Reyes' puede proporcionar información histórica y contextual que ayuda a tomar decisiones más informadas sobre la seguridad cibernética.
👥 Francisco Hernández, el presentador, es parte del equipo de operaciones ciber del ayuntamiento de Madrid y pertenece a Protap, una entidad que se puede buscar en internet.
🎭 Hernández también tiene experiencia en teatro y utiliza su habilidad para mantener el interés del público durante la presentación, intentando evitar el aburrimiento.
🔒 Se discute la limitación de las listas negras tradicionales y cómo 'Reyes' puede ayudar a priorizar y manejar estas listas de manera más efectiva en el entorno moderno de trabajo remoto.
📚 Se hace hincapié en la necesidad de evidencia y pantallazos para la toma de decisiones en seguridad cibernética, y cómo 'Reyes' puede apoyar en esto.
🚀 Se mencionan casos específicos de uso de 'Reyes', como la detección de scripts de Visual Basic y la evaluación de la actividad de dominios sospechosos, demostrando su utilidad en escenarios reales.
🌐 Se destaca la integración de 'Reyes' con otras herramientas, como Jira, y cómo esta integración mejora la gestión y la respuesta a incidentes de seguridad.

Q & A

¿Qué es lo que el orador intenta hacer durante su presentación?
-El orador intenta hacer una presentación sobre la herramienta 'Reyes', mostrando sus capacidades y cómo se utiliza en el ámbito de la ciberseguridad para investigar y manejar incidentes en la red del ayuntamiento de Madrid.
¿Qué es 'Reyes' y qué función cumple según el orador?
-'Reyes' es una herramienta de agregación de fuentes de inteligencia cibernética que permite a los usuarios investigar amenazas, compartir información y priorizar alertas de seguridad.
¿En qué consiste el trabajo del orador en el ayuntamiento de Madrid?
-El orador trabaja en el centro de ciberseguridad del ayuntamiento de Madrid, donde se encarga de la gestión y resolución de incidentes cibernéticos.
¿Qué es lo que el orador muestra durante su presentación?
-El orador muestra varias alertas de su EDR (Endpoint Detection and Response) y cómo utiliza 'Reyes' para investigar y obtener información adicional sobre las amenazas detectadas.
¿Cómo se relaciona 'Reyes' con VirusTotal y qué ventajas ofrece esta relación?
-'Reyes' se enriquece con información de VirusTotal, lo que permite obtener detalles adicionales sobre las amenazas, como resoluciones históricas de dominios, muestras relacionadas y ratios de detección.
¿Qué problemas de presupuesto menciona el orador y cómo 'Reyes' puede ayudar con esto?
-El orador menciona que a menudo se enfrentan a problemas de presupuesto limitado. 'Reyes' es una herramienta que ofrece una gran capacidad por su precio, lo que la hace ideal para investigar amenazas sin un gasto excesivo.
¿Cómo describe el orador la importancia de la información histórica en 'Reyes'?
-El orador destaca la importancia de la información histórica en 'Reyes' para entender el tiempo de actividad de una amenaza y su evolución, lo que ayuda a tomar decisiones más informadas.
¿Qué ejemplos de amenazas específicas muestra el orador durante su presentación?
-El orador muestra ejemplos de amenazas como scripts de Visual Basic con comandos y control, conexiones a dominios sospechosos y la detección de falsos positivos, como una llamada a un sitio peculiar por parte de 'MS exec'.
¿Cómo utiliza el orador 'Reyes' para investigar dominios y subdominios relacionados con amenazas?
-El orador utiliza 'Reyes' para investigar dominios y subdominios relacionados con amenazas, obteniendo información sobre resoluciones históricas, muestras relacionadas y la actividad reciente de estos dominios.
¿Qué es lo que el orador sugiere sobre el uso de 'Reyes' en la fase de recopilación de información?
-El orador sugiere que 'Reyes' es fundamental en la fase de recopilación de información sobre amenazas, ya que permite obtener detalles adicionales que pueden ser críticos para la investigación y la respuesta a incidentes de seguridad.

Outlines

00:00

🎥 Introducción y Presentación de Reyes

El presentador inicia la sesión con una introducción informal, mencionando dificultades técnicas y la intención de realizar una demostración en vivo relacionada con 'Reyes'. Se discute el uso de esta herramienta para gestionar y analizar incidentes de seguridad cibernética, especialmente en el Ayuntamiento de Madrid. El orador también comparte su experiencia en el teatro y ciberseguridad, enfatizando la importancia de mantener al público interesado a lo largo de la presentación.

05:01

🔍 Análisis de Amenazas con EDR y Reyes

Se realiza un análisis detallado de amenazas identificadas por un sistema de detección y respuesta de endpoints (EDR) y la herramienta 'Reyes'. Se mencionan incidentes específicos, como una llamada a un sitio extraño y secciones ocultas, y cómo se utilizan para determinar la legitimidad de actividades sospechosas. Se destaca la capacidad de 'Reyes' para proporcionar información adicional, como resoluciones de dominios, historial de amenazas y búsquedas relacionadas, lo que ayuda en la toma de decisiones de seguridad.

10:03

📡 Discusión sobre la Gestión de Falsos Positivos y Priorización de Amenazas

El orador aborda el problema de falsos positivos en la detección de amenazas y cómo 'Reyes' puede ayudar a priorizar y gestionar estas alertas. Se discuten ejemplos de amenazas, como 'Cobalt Strike', y cómo se pueden investigar y verificar utilizando diferentes fuentes de inteligencia, incluyendo el análisis de tráfico, puertos y subdominios. Se enfatiza la importancia de no bloquear soluciones de forma indiscriminada y la necesidad de una investigación profunda para entender la naturaleza de las amenazas.

15:05

🚀 Uso de Herramientas de OSINT y Análisis de Ejemplos

Se presenta el uso de herramientas de inteligencia abierta (OSINT) para investigar amenazas y se comparten ejemplos de cómo se pueden rastrear y analizar. Se mencionan casos específicos, como la detección de un dominio asociado con 'Cobalt Strike' y cómo se puede rastrear a través de fuentes como Twitter. Se discute la importancia de la información histórica y el análisis de muestras de malware para comprender la evolución de las campañas de ataques y mejorar las medidas de seguridad.

🎉 Conclusión y Recomendaciones Finales

El orador concluye la presentación destacando la importancia de 'Reyes' como herramienta para la recolección de información y la investigación de amenazas en el ámbito del ciberseguridad. Se ofrecen recomendaciones para el uso de esta herramienta y se sugieren mejoras potenciales. Se agradece a la audiencia y al equipo por su participación y se cierra la sesión con un mensaje motivador y un agradecimiento general por la oportunidad de presentar en el evento.

Mindmap

Keywords

💡Ciberseguridad

Ciberseguridad se refiere a la práctica de proteger la información, sistemas y redes de ataques maliciosos. En el video, se menciona que el Ayuntamiento de Madrid ha creado un centro de ciberseguridad, lo que indica la importancia de esta disciplina para proteger contra ciberataques y mantener la seguridad de la información.

💡EDR (Endpoint Detection and Response)

EDR es una tecnología que permite la detección, análisis y respuesta a amenazas en los puntos finales de una red, como computadoras y dispositivos móviles. En el script, se habla de 'alertas de nuestro EDR', lo que sugiere que se utilizan para monitorear y responder a posibles amenazas en tiempo real.

💡Reyes

Reyes es mencionado como una 'herramienta' importante para la investigación y recopilación de información sobre amenazas. Aunque el script no da detalles específicos, se puede inferir que es una plataforma o servicio que ayuda a los expertos en ciberseguridad a analizar y entender mejor las amenazas en línea.

💡IOC (Indicadores de Compromiso)

IOC es una abreviatura para 'Indicadores de Compromiso', que son signos o síntomas que sugieren que un sistema ha sido comprometido por un atacante. En el video, se sugiere que se usan para ayudar a identificar y responder a amenazas específicas.

💡Cobalt Strike

Cobalt Strike es una herramienta de software que se utiliza para la simulación de ataques y pruebas de penetración. En el script, se menciona como un ejemplo de una amenaza detectada, lo que indica que es una herramienta conocida en el ámbito de la ciberseguridad tanto por su uso legítimo como por su potencial mal uso.

💡Falsos positivos

Un falso positivo es cuando un sistema de detección de amenazas indica que hay una amenaza cuando en realidad no la hay. En el video, se menciona la frase 'la vida es una continua sucesión de falsos positivos', lo que sugiere la importancia de la precisión en la detección de amenazas y el desafío de diferenciar entre verdaderos y falsos positivos.

💡OSINT (Open Source Intelligence)

OSINT se refiere a la recolección y análisis de información disponible públicamente. En el script, se menciona en el contexto de la investigación de amenazas, donde se puede utilizar para encontrar información sobre proveedores, IP y otros indicadores de compromiso.

💡Subdominios

Un subdominio es una parte de un dominio de primer nivel que se utiliza para organizar y estructurar el contenido de una red. En el video, se discute cómo los atacantes pueden generar subdominios aleatorios para evadir la detección, lo que es un tema clave en la lucha contra la ciberseguridad.

💡Threat Intelligence

La inteligencia de amenazas es la información colectada y analítica que se utiliza para entender y anticipar las amenazas en el entorno de TI. En el script, se hace referencia a la importancia de la inteligencia adicional proporcionada por herramientas como Reyes para mejorar la comprensión de las amenazas.

💡Teletrabajo

El teletrabajo, o trabajo remoto, es la práctica de realizar trabajo desde una ubicación fuera de la oficina habitual. En el video, se menciona cómo el teletrabajo ha cambiado la percepción del perímetro de seguridad, lo que requiere enfoques de ciberseguridad más flexibles y adaptativos.

Highlights

Presentación sin presentación, complicado de seguir.

Problemas técnicos al inicio, se menciona la importancia de las pruebas.

Introducción del uso de la herramienta 'Reyes' en la demostración.

Discusión sobre incidentes reales en el ayuntamiento de Madrid.

Mención de la experiencia en el teatro y su aplicación en la presentación.

Publicidad sutil en la presentación, enfocado en el audio del PC.

El ayuntamiento de Madrid ha creado un centro de ciberseguridad.

La importancia de la herramienta 'Reyes' en la gestión de ciberataques.

Comparación de 'Reyes' con otras herramientas de inteligencia de amenazas.

Demostración de alertas de EDR y su análisis con 'Reyes'.

Uso de 'Reyes' para investigar y verificar la legitimidad de dominios y procesos.

Muestra de cómo 'Reyes' ayuda a entender la naturaleza de las amenazas y su evolución.

Importancia de la información histórica en la detección de amenazas.

Dificultades con falsos positivos y cómo 'Reyes' puede ayudar a discernirlos.

Uso de 'Reyes' para la investigación de amenazas en el tiempo real.

Integración de 'Reyes' con otras herramientas como Jira para mejorar la respuesta a incidentes.

Discusión sobre la limitación de la ingesta de datos en EDR y cómo 'Reyes' complementa esta limitación.

Mencionar la colaboración y el intercambio de información con 'Reyes'.

Agradecimiento a la audiencia y al equipo en el cierre de la presentación.