El beneficio de una rápida respuesta a incidentes

El 27 de agosto del 2012 un intruso se conectó al Departamento de Ingresos de Carolina del Sur, al emplear una cuenta de acceso legítima vía el servicio de acceso remoto (Citrix). Inicialmente, fue capaz de hacerse de cuentas de usuarios en seis (6) servidores internos. En no más de 3 días, esas cuentas le permitieron tener acceso a todas las credenciales (usuario/contraseña) de todos los sistemas Windows. Instaló -además- una puerta trasera (backdoor) en uno de esos servidores. Empleando las cuentas crackeadas, logró interactuar con más treinta y nueve (39) servidores adicionales, con pruebas de reconocimiento de hacking. En sus varias visitas, intentó acceder al servidor web en el que operaba la información de mantenimiento de pagos, sin éxito. Sin embargo, sí logró vulnerar al servidor de respaldo, de donde pudo descargar “treinta y tres (33) archivos de respaldo de la base de datos -cifrados y no cifrados” (además de otros 1,200 archivos relacionados al sitio sctax.org, y la versión cifrada de la llave de cifrado de datos de las base de datos cifradas con AES 256 bits) en un directorio que había preparado para ese fin. Para poder subir el archivo de respaldo, comprimió lo extraído en catorce (14) archivos 7-zip, y los movió a un servidor desde dónde tenía acceso saliente a Internet, para luego borrar esa evidencia.

Luego de cuarenta y cinco (45) días, una oficina policial contactó al Departamento de Ingresos con evidencia que Información Personal de Identificación (PII) había sido hurtada. El Departamento de Ingresos confirmó que los datos provistos eran parte de la base de datos administrada por ellos.

En menos de dos (2) días, un empresa especialista en el manejo de incidentes, realizó una investigación profunda, al realizar análisis forense en múltiples sistemas, y al monitorear todo el tráfico de la red del Departamento de Ingresos desde el único enlace de salida de Internet, para verificar si aún existía evidencia de actividad criminal en ejecución. Como parte del análisis forense de red, analizó los registros de todos los sistemas de seguridad, y entregó medidas de inmediato y largo plazo para la seguridad de esta importante oficina de gobierno.