Una multinacional se defiende de un ciberataque de Muddled Libra de varias fases

Investigó las pruebas digitales para determinar qué sistemas y cuentas se habían visto afectados.

Protegió las cuentas en riesgo, aisló los sistemas atacados, inició la reconstrucción de Active Directory y reforzó los cortafuegos.

Restableció la seguridad de los sistemas afectados, con lo que eliminó la presencia de cualquier agente malicioso y corrigió las vulnerabilidades.

Supervisó continuamente el entorno para detectar posibles actividades no autorizadas, lo que incluyó la evaluación del alcance del movimiento lateral y las acciones de reconocimiento.

Siguió investigando para identificar las herramientas y técnicas utilizadas por el actor de amenazas.

Implementó medidas de seguridad adicionales para mitigar los riesgos, como el bloqueo del acceso a determinadas herramientas y la actualización de las políticas de seguridad.

Identificó los datos exfiltrados, restableció los sistemas afectados y detectó y corrigió las vulnerabilidades.

Evaluó el impacto de los intentos de acceso no autorizado a un dominio virtualizado externo, así como los posibles riesgos y exposiciones.

Siguió investigando para determinar el alcance del acceso no autorizado y la posible exfiltración de datos.

Protegió el dominio externo con la implementación de controles de acceso más estrictos y evaluaciones de seguridad.

Empezó a identificar los datos exfiltrados y a restablecer la seguridad del dominio externo, detectando y corrigiendo las vulnerabilidades.

Reforzó la estrategia de seguridad del dominio externo mediante la implementación de controles de seguridad adicionales y la realización de auditorías periódicas.

Evaluó el impacto y el riesgo de exposición derivados del acceso no autorizado al intercambio de archivos y las operaciones de correo electrónico.

Siguió investigando para identificar las cuentas afectadas y determinar a qué datos se había accedido o se habían manipulado.

Protegió las cuentas y los sistemas afectados mediante el restablecimiento de contraseñas y la implementación de controles de supervisión y acceso adicionales.

Recuperó los datos que habían sufrido el ataque y restableció las cuentas y los sistemas afectados, para lo cual detectó y corrigió las vulnerabilidades.

Mejoró las medidas de protección de datos mediante la implementación de controles de prevención de pérdida de datos y el refuerzo de los protocolos de seguridad para el correo electrónico.

Evaluó el impacto global de la intrusión en la red y la eficacia de las medidas de seguridad, así como el nivel de preparación de la empresa para responder a incidentes en el futuro.

Detectó cualquier otra vulnerabilidad o área de mejora que quedase, revisando para ello los procesos de IR y las políticas de seguridad.

Implementó controles de seguridad adicionales, realizó pruebas de penetración y mejoró las funciones de supervisión.

Llevó a cabo tareas de supervisión continua y búsqueda de amenazas proactiva para garantizar que no se produjesen accesos no autorizados a los sistemas.

Utilizó lo aprendido para promover mejoras a largo plazo en las prácticas de seguridad y realizó evaluaciones de seguridad periódicas, además de ofrecer formación en la materia con frecuencia.