Guía histórica
CISA AA20-352A
Convertir inteligencia de campaña en evaluación de exposición e investigación.
En esta página
Finalidad, alcance y autoridad
Alerta histórica de campaña, no estándar permanente. El boletín de diciembre de 2020 trata compromisos en entidades públicas, infraestructura crítica y empresas. Orion fue una vía inicial, pero también se advierte de otras. Sus indicadores no forman un catálogo actual completo. [1]
Principios y lógica operativa [1]
1. Exposición y compromiso
Revisar instalaciones y versiones históricas, después actividad y accesos. Encontrar un producto justifica investigar, no demuestra todos los daños. No tenerlo tampoco descarta toda la campaña.
2. Identidad y confianza
Seguir credenciales, permisos e impersonación más allá del primer equipo. Los límites de red pueden no coincidir con los de investigación.
3. Indicadores con contexto
Correlacionar red, equipos e identidad dentro del periodo relevante. Diferenciar búsqueda negativa de imposibilidad de buscar por falta de registros.
4. Proteger comunicaciones
La alerta advierte de información sensible en las conversaciones de respuesta. Prever intercambio de pruebas cuando correo y administración puedan estar observados.
5. Separar directivas
La Directiva 21-01 citada y la alerta tienen funciones y destinatarios distintos. No convertir una instrucción federal histórica en obligación universal.
Aplicación · recomendaciones editoriales
Proponemos un registro separado de instalación, indicadores, exposición de identidad, acceso a datos e incógnitas, con fuente y periodo. La actividad confirmada activa respuesta; las carencias de prueba requieren decidir investigación adicional e incertidumbre tolerada. Estudiar también la guía posterior de expulsión.
Pruebas para el CISO · expediente propuesto
Inventario histórico, registros, permisos, cronología, alcance y contención documentados. En un proveedor hipotético, «hemos parcheado» no aclara si investigó accesos anteriores.
Errores frecuentes y límites
No atribuir igual impacto a todos los expuestos, limitarse a bloquear indicadores, suponer que parchear elimina toda persistencia ni tratar indicadores de 2020 como suficientes hoy. Validar las acciones técnicas actuales por separado.
Fuentes oficiales y ruta de lectura
Apartados que consultar en la fuente: Summary; Technical Details; Mitigations in the linked historical bulletin.
Comentario de estudio original, no reproducción íntegra. Consulte la fuente para cada requisito, ampliación, condición y excepción. La aplicabilidad depende de la organización y de sus obligaciones.