Taxonomía de incidentes de un CSIRT nacional

Una taxonomía de incidentes es una lista cerrada de categorías (cada una con sus tipos) con definiciones que todos acuerdan. Su valor no está en la lista sino en el acuerdo: si dos equipos describen igual el mismo hecho, sus estadísticas se pueden sumar, sus alertas se pueden intercambiar y las tendencias dejan de ser anécdotas. El grupo de trabajo de la taxonomía de referencia publica la suya en un repositorio abierto, con licencia CC0, precisamente para que cualquier equipo la adopte.

La taxonomía responde a qué tipo de hecho es. No responde a cuánto pesa ni a quién es responsable: eso lo dicen otras herramientas.

Abre la estación. El extracto trae las once categorías de nivel superior de la taxonomía, con algunos ejemplos de tipos. La regla del escenario es clasificar por el efecto más grave confirmado, no por el que se teme ni por el origen del ataque. Una cuenta tomada por un tercero es un hecho confirmado distinto de un intento de entrar: el primero ya pasó; el segundo, no.

Mira el caso N-04 de los casos del mes y busca en el extracto la categoría que describe lo que ocurrió.

Hay una categoría que cuesta ver porque no describe un ataque ocurrido sino una condición de riesgo: un sistema que se podría usar mal. Clasificarla como «disponibilidad» o «intrusión» sería afirmar un hecho que no pasó. Una buena taxonomía deja sitio para el estado «expuesto pero no explotado», y el analista tiene que usarlo y no inflar el caso.

Lee el caso N-02 y localiza la categoría que corresponde.

Dos incidentes de la misma categoría pueden diferir mucho en gravedad. Una intrusión en una cuenta de un usuario sin acceso a nada sensible y otra en la cuenta del administrador de dominio caen en la misma categoría y piden velocidades muy distintas. La categoría describe el tipo de hecho; la severidad sale del impacto y la urgencia de ese caso concreto.