HORUS

El proyecto HORUS se trata de una solución novedosa de Security Orchestration que conecta los diferentes grupos integrantes de un SOC y es capaz de crear ciberinteligencia. Adicionalmente sirve como plataforma de gestión de casos de seguridad, en el que se crearán patrones de actuación con los pasos específicos para responder a cada tipo de amenaza. Estos patrones son moldeables de forma que puedan evolucionar a la vez que evoluciona la madurez del SOC y se vayan detectando nuevos patrones de ataque. Los objetivos concretos son, entre otros:

• Compartir información entre los diferentes grupos de un SOC: los diferentes grupos que conforman un SOC muchas veces trabajan con herramientas centradas en una tarea concreta de forma que la compartición de información se convierte en un proceso manual. Cada uno de los grupos tiene una misión específica pero la capacidad de conectar las diferentes fuentes de información ayudará a contextualizar cualquier tipo de amenaza o de incidente de seguridad.
• Almacenamiento de la información relevante de diferentes indicadores (dominios, direcciones IP, PCAPs, malware, correos): la información contenida en cada una de las herramientas de las fuentes públicas que alimentan HORUS se pueden consultar de forma aislada pero HORUS encontrará y almacenará las relaciones entre los indicadores de diferentes fuentes para ofrecer al analista de ciberseguridad una visión global y un time-line tanto del ataque, como de los pasos seguidos en la investigación del caso y de la información adicional que se va incorporando de las diferentes fuentes que están interconectadas.
• Agrupación de la información a través de campañas creación de la campaña como un a agrupación de diferentes indicadores que forman parte de una misma amenaza de seguridad.
• Gestión de casos: gestión de los diferentes casos de investigación a partir de plantillas definidas para patrones conocidos y creación de nuevas plantillas para los nuevos patrones que se vayan detectando. Esta gestión incluirá tareas específicas para usuarios o grupos de usuarios con un rol concreto, acciones (revisar un log, apagar un servidor, etc…), envío de mensajes, etc.
• Crear relaciones entre indicadores: de forma adicional a la conexión de indicadores a través de campañas se podrán relacionar varios indicadores de manera que siempre que se consulte la información asociada a uno de ellos se añadirá la correspondiente a sus relaciones de forma transparente para el usuario, y un largo etcétera que no queremos alargar en este documento.

HORUS (IDI-20180164)