El Centro para la Seguridad de Internet CIS publica y mantiene un documento denominado: Modelo de defensa comunitaria CDM de CIS, que pretende aportar más rigor, análisis y transparencia a las recomendaciones de seguridad que se encuentran en los controles. Aprovecha la disponibilidad abierta de resúmenes completos de ataques e incidentes de seguridad, como el Informe de Verizon DBIR y el modelo MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge).
El modelo de gestión de riesgos de CIS se construyó utilizando el siguiente proceso:
- A partir del DBIR de Verizon y otras fuentes, se identifican los cinco tipos de ataques más importantes contra los que defenderse: ataques de aplicaciones web, información privilegiada y privilegios mal administrados, malware, ransomware y ataques dirigidos.
- Para cada tipo de ataque, determinar un patrón de ataque, es decir, las técnicas del modelo ATT&CK necesarias para ejecutar las tácticas utilizadas en ese ataque.
- Identificar el valor de seguridad específico de las medidas de seguridad en los controles de CIS contra las técnicas encontradas de cada ataque. Analizar la clase de mitigaciones asociadas con cada técnica.
- Examinar el valor de mitigación de ataques para implementar los subcontroles que comprenden los controles de CIS.
La ultima versión de los Controles de CIS, esta disponible para su descarga en el siguiente enlace:
Los controles de seguridad críticos CIS® (CIS Controls®) comenzaron como una actividad sencilla para identificar los ataques cibernéticos más comunes e importantes del mundo real que afectan a las empresas todos los días, traducir ese conocimiento y experiencia en acciones positivas y constructivas para los defensores y luego compartir esa información con un público más amplio. Los objetivos originales eran modestos: ayudar a las personas y a las empresas a centrar su atención y comenzar a dar los pasos más importantes para defenderse de los ataques que realmente importaban.
Los controles de seguridad
críticos o CIS Controls son una serie de medidas de seguridad para
mitigar los ataques más frecuentes contra sistemas y redes informáticas.
Existe toda una comunidad de expertos voluntarios que desarrollan los
controles CIS, proviene de diferentes sectores: defensa, gobierno,
centros académicos, servicios médicos, fabricación, transporte y
comercio minorista.
El CIS ha publicado el Modelo de Defensa Comunitaria (CDM), que es nuestro enfoque más basado en datos hasta el momento. En su versión inicial, el CDM analiza las conclusiones del último DBIR de Verizon, junto con los datos del Centro de Análisis e Intercambio de Información Multiestatal (MS-ISAC®), para identificar lo que creemos que son los cinco tipos de ataques más importantes. Describir esos ataques utilizando el marco de trabajo MITRE Adversarial Tactics, Techniques, and Common Knowledge para crear patrones de ataque. Esto permite analizar el valor de las acciones defensivas, es decir, las salvaguardas contra esos ataques.
ATT&CK Matrix for Enterprise
https://attack.mitre.org
https://attack.mitre.org
- Enterprise tactics
- https://attack.mitre.org/tactics/enterprise
- Enterprise Techniques
- https://attack.mitre.org/techniques/enterprise
- Enterprise Mitigations
- https://attack.mitre.org/mitigations/enterprise
En concreto, también proporciona una forma coherente de analizar el valor de seguridad de un conjunto determinado de acciones defensivas a lo largo del ciclo de vida del atacante y proporciona una base para estrategias como la defensa en profundidad.
Los detalles de este análisis están disponibles en el sitio web del CIS. En definitiva, un paso importante hacia la identificación del valor de seguridad de los controles CIS, o de cualquier subconjunto de ellos.
La ultima versión de los Controles Críticos de Seguridad del CIS esta disponible para su descarga, una excelente referencia para aprender, planificar y desarrollar una estrategia solida de defensa para la infraestructura informática de cualquier organización.
CIS Controls® content, you are authorized to copy and redistribute the content as a framework for use by you, within your organization and outside of your organization, for non-commercial purposes only, provided that (i) appropriate credit is given to CIS, and (ii) a link to the license is provided. Additionally, if you remix, transform, or build upon the CIS Controls, you may not distribute the modified materials. Users of the CIS Controls framework are also required to refer to http://www.cisecurity.org/controls/) when referring to the CIS Controls in order to ensure that users are employing the most up-to-date guidance. Commercial use of the CIS Controls is subject to the prior approval of the Center for Internet Security, Inc. (CIS®).
Seguridad a lo Jabalí para Todos!!
