c3.19 Realizar ejercicios de mesa (tabletop)
Entrene al blue team con ejercicios de mesa y simulaciones para confirmar que pueden responder a incidentes según sus playbooks. Aprender haciendo construye la confianza y la agilidad que exige un incidente real.
Guía de implementación
Prepárese antes del tabletop
- Asegúrese de que los respondedores conozcan procedimientos básicos de IR (snapshot para evidencia, deshabilitar usuarios IAM, aislar instancias EC2).
- Tenga prioridades claras definidas (recolectar evidencia vs. restaurar operaciones).
- Prepare su tooling de respuesta a incidentes con antelación.
Ejecute el ejercicio
Reúna al equipo de respuesta en una "war room"; luego un facilitador narra un escenario mientras el blue team explica —idealmente demuestra— las acciones que tomaría. El facilitador itera la historia según esas acciones y luego revela el resultado final, incluyendo amenazas que no se detectaron. Cubra su plan de comunicaciones y ruta de escalamiento, y cualquier obligación de notificación contractual o de cumplimiento. La realidad rara vez sigue el playbook exactamente, así que practique adaptarse a la evasión y la anti-forensia (por ejemplo, un atacante alterando la integración con el SIEM para que la actividad en una Región no se reporte). Capture lecciones aprendidas e impulse la mejora incremental.
Formas de practicar de forma práctica
- AWS Jam: desafíos de seguridad gamificados estilo capture-the-flag en cuentas AWS temporales (disponible en la versión paga de Skill Builder o vía capacitación).
- AWS CloudSaga: una herramienta de línea de comandos que simula eventos de seguridad documentados del AWS CIRT en su propio sandbox (nunca en producción).
- AWS Professional Services SIRS y los socios consultores de AWS pueden facilitar simulaciones estructuradas para equipos técnicos hasta ejecutivos.
Referencia
Base sus escenarios en la Guía de Respuesta a Incidentes de Seguridad de AWS y sus propios playbooks.
Cómo validar
- ¿Realiza ejercicios de mesa y simulaciones para el blue team con regularidad?
- ¿Los respondedores están entrenados en acciones básicas de IR (captura de evidencia, aislar instancias, deshabilitar identidades)?
- ¿Los ejercicios cubren el plan de comunicaciones y escalamiento, y realimentan las lecciones aprendidas en los playbooks?
Amenazas que atiende
- Un equipo que nunca ha ensayado responde de forma lenta e inconsistente bajo la presión de un incidente real, dando al adversario más tiempo y aumentando la probabilidad de una erradicación incompleta.
Servicios AWS
AWS Security Incident Response