Resolución de incidencia informática

 Que es Resolución de incidencia informática.

La resolución de incidentes es el proceso de identificar y responder a los incidentes para resolverlos. Aunque los incidentes pueden producirse en diversos sectores, suelen referirse a interrupciones o reducciones inesperadas de los servicios o infraestructuras de las tecnologías de la información (TI).Por ejemplo, un incidente podría ser una actualización de software que hace que el sitio web de un banco se desconecte temporalmente. El objetivo de la resolución de incidencias es restablecer los servicios a los clientes de forma rápida y eficaz. La resolución de estos incidentes puede ayudar a las empresas a reducir los costes relacionados con el incidente, aumentar la satisfacción de los clientes con sus productos o servicios y ayudar a evitar que se produzcan futuros incidentes.

Tipos de incidencia

Aquí hay algunas formas en que las empresas pueden detectar incidentes de seguridad:

• Comportamiento inusual de cuentas de usuario privilegiadas. Cualquier anomalía en el comportamiento de una cuenta de usuario privilegiado puede indicar que alguien la está utilizando para ingresar a la red de una empresa.
• Empleados no autorizados que intentan acceder a servidores y datos. Muchos empleados probarán las aguas para determinar exactamente a qué sistemas y datos pueden acceder. Las señales de advertencia incluyen a usuarios no autorizados que intentan acceder a servidores y datos, solicitar acceso a datos que no están relacionados con sus trabajos, iniciar sesión en momentos anormales desde ubicaciones inusuales o iniciar sesión desde múltiples ubicaciones en un período de tiempo breve.
• Anomalías en el tráfico de la red de salida. No es solo el tráfico que entra en una red lo que debería preocupar a las organizaciones. Las organizaciones también deben monitorear el tráfico que deja sus perímetros. Esto podría incluir empleados que cargan archivos grandes a aplicaciones de nube personales; descargan archivos grandes a dispositivos de almacenamiento externos, como unidades flash USB; o enviando grandes cantidades de mensajes de correo electrónico con archivos adjuntos fuera de la empresa.
• Tráfico enviado hacia o desde lugares desconocidos. Para una empresa que solo opera en un país, cualquier tráfico enviado a otros países podría indicar actividad maliciosa. Los administradores deben investigar cualquier tráfico a redes desconocidas para asegurarse de que es legítimo.
• Consumo excesivo. Un aumento en el rendimiento de la memoria del servidor o los discos duros puede significar que un atacante los esté accediendo ilegalmente.
• Cambios en la configuración. Los cambios que no se han aprobado, como la reconfiguración de servicios, la instalación de programas de inicio o los cambios en el firewall son una señal de posible actividad maliciosa. Lo mismo ocurre con las tareas programadas que se han agregado.
• Archivos ocultos. Estos pueden considerarse sospechosos debido a sus nombres de archivos, tamaños o ubicaciones, que indican que los datos o registros pueden haberse filtrado.
• Cambios inesperados. Estos incluyen bloqueos de cuentas de usuario, cambios de contraseña o cambios repentinos en las membresías de grupos.
• Comportamiento anormal de navegación. Esto podría ser redirecciones inesperadas, cambios en la configuración del navegador o ventanas emergentes repetidas.
• Entradas de registro sospechosas. Esto sucede principalmente cuando el malware infecta los sistemas de Windows. Es una de las principales formas en que el malware garantiza que permanece en el sistema infectado.