CIBERINTELIGENCIA ¿reinventando la rueda o disciplinando? @ULIMAN73

Como en muchas oportunidades he dicho hoy día a todo componente tecnológico se le suele anteponer el término Ciber seguido luego del tema de interés, en este caso la Ciber-Inteligencia. Sin embargo y parecido a otras nociones relacionadas con el ciberespacio, no hay ninguna definición cristalizada de "Ciberinteligencia", ni siquiera hay suficientes estudios centrados en cómo se elabora, si bien encontrarán varios artículos sobre el particular, no hay aún hoy una doctrina cabalmente aceptada.

Si uno mira las políticas o mecanismos relevantes que se han implementado recientemente (especialmente Europa), así como otra documentación emitida por organizaciones privadas o públicas y de orden académico, la Ciberinteligencia no siempre se define de forma exhaustiva y las definiciones varían. A pesar del creciente uso de esta u otras expresiones similares por parte de académicos, medios y profesionales, el pensamiento actual sobre el tema es limitado y no está bien desarrollado. Una investigación más profunda del tema, tanto sea desde un punto de vista teórico como práctico, falta.

Por el contrario, tanto académicos como profesionales del ámbito de la Seguridad Nacional de los Estados Unidos de Norteamérica (USA), tiene reflexiones sobre la Ciberinteligencia algo relativamente más avanzadas. Esta podría ser la consecuencia de la adopción anterior de conceptos, prácticas y soluciones tecnológicas relacionados con la CYBINT basados en los organismos de Gobierno de USA, similar situación se puede apreciar en Rusia y China.

Un primer paso en el sentido correcto para comprender la CYBINT es darse cuenta que las bases, es decir las tácticas, técnicas y procedimientos de inteligencia, así como algunas de sus operaciones, existían mucho antes que apareciese el ciberespacio. A menudo (más de lo que debería) se tiene la idea que la inteligencia es ofensiva en su naturaleza cuando se la ve desde la perspectiva de las operaciones de espionaje y recolección, pero su propósito final está arraigada a la defensa también.

La CYBINT es el seguimiento, análisis y respuesta a las amenazas que se originan, desarrollan o dan en el ciberespacio. Este tipo de actividad de inteligencia tiene un doble trasfondo entre la clásica actividad de espionaje y la seguridad informática, donde ambas confluyen en una sola. Sin perjuicio de ello, es una actividad propia del campo de la Inteligencia por lo que se deben recordar estos principios:

La inteligencia se obtiene por la cantidad y calidad de sus fuentes (la gran mayoría de las agencias locales desconoce sus fuentes y mucho menos tiende a asignarles niveles de valoración).
El factor humano sigue siendo vital a la hora de desarrollar el análisis.
Las amenazas no solo provienen de exterior (internet), las organizaciones tienden a creer que dentro de ellas no hay amenazas.

El ciclo de la inteligencia es totalmente aplicable a la CYBINT. Éste (el ciclo) es un proceso virtuoso que se retroalimenta, podemos verlo como un proceso circular y repetido que se emplea para convertir datos, información en inteligencia útil para cumplir con una meta dada. El ciclo se configura en los siguientes pasos o etapas:

1. Planificación y dirección del esfuerzo de reunión - Esta etapa suele dividirse en 4 sub-etapas más que son I) Orientación, II) Coordinación, III) Plan de Obtención (documento de trabajo que no se eleva o remite, que contiene los Elementos Esenciales de Información –EEI- y Otros Requerimientos de Información –ORI-) y IV) Supervisión de la ejecución de órdenes y solicitudes.

Para crear adecuadamente cualquier cantidad de inteligencia fuera de la información, debe tener un objetivo definido y las intenciones. Esto podría ser algo tan simple como querer saber los servidores de comando y control de una parte de un malware para que pueda bloquearlo en su red a querer saber el tipo de sistemas de información que utiliza su objetivo para que pueda infiltrarlos. A medida que avanzas en el ciclo de inteligencia, puedes volver atrás y abordar los pasos de nuevo (como un ejemplo si obtienes nuevos datos que revelan algo que no sabías, una brecha de inteligencia, puedes definir un nuevo objetivo).

2. Recolección y obtención de información - Dónde y cómo adquirir los datos e información para procesar. Es la explotación sistemática de las fuentes de información por las agencias de inteligencia y la entrega de la información obtenida. Esta etapa se compone de 2 sub-etapas: I) Búsqueda (a través de la Orden de Obtención, y II) Reunión de información.

Esto puede ser honeypots, logs de Firewall, logs del sistema de detección de intrusiones, escaneos de Internet, etc. Se debe conocer la mayor cantidad de opciones de recolección disponibles mientras está en la fase de planificación y dirección para poder hacer metas razonables o necesidades de inteligencia.

3. Procesamiento de la información - es el más importante de los pasos, a cargo de los analistas, donde se transforma la información en inteligencia, el mismo consta de 3 sub-etapas: I) Registro, II) Evaluación y III) Análisis. Este es el paso en el cual se tomarán datos y se convertirán en un producto de inteligencia. Esto se hace a través del análisis y la interpretación y, por tanto, depende en gran medida del analista. Todos los informes producidos deben cumplir con una necesidad o objetivo definido de inteligencia de su fase de planificación y dirección.

4. Difusión - Esta se realiza a través de la documentación que se remite a todos los niveles, superiores y subalternos respectivamente, así como entre integrantes del Sistema en forma horizontal, lo que puede concretarse en algunos de los siguientes documentos: Informe de Inteligencia / Informe Especial de Inteligencia / Informe Periódico de Inteligencia (Diario, semanal, mensual, trimestral, etc.) / Apreciación de inteligencia / Estudio de Inteligencia / Parte de Información. En definitiva, es proporcionar al usuario final el producto terminado, si estos no pueden acceder al documento final, entonces el proceso es inútil y no cumple con su meta. Este último paso es el que da lugar a la “retroalimentación del ciclo”.

Recopilando todo lo que se expuso hasta ahora vemos que dentro de la disciplina de la inteligencia se depende en gran medida del analista y de su interpretación de los datos. Tratando este tema, no solo el de la inteligencia ó la CYBINT, vemos que el factor humano siempre es el más determinante.

Pese al uso de Tecnologías, Plataformas y demás, no hay un conjunto de estándares para el producto de inteligencia, es decir el análisis en sí, ya que la redacción técnica es definitivamente una habilidad humana que necesita ser desarrollada adecuadamente; a que punto, a tal que de dicho análisis o inteligencia satisfaga el objetivo original o impuesto en el Plan.

Esta redacción técnica tiene varios métodos y formas, en un informe de inteligencia estándar puede arrancarse con un BLUF (Bottom Line Up Front), que no es otra cosa más que un resumen corto para el lector que solo dispone de escasos segundos para interiorizarse del tema, a continuación, los productos de inteligencia deben contener los detalles importantes de la información evaluada y claro está el valor agregado que surge de las consideraciones del analista.

Lo que el analista expone como su entender debe estar claramente separado de los hechos presentados, es difícil que el analista no se involucre en el tema y pierda perspectiva, como así también no es fácil la tentación de usar datos no debidamente estudiados pero que convalidan la primera impresión del analista. Al final del día, es el análisis del analista en ciberinteligencia lo más importante. El analista es la persona experta en el tema y las decisiones de importancia suelen derivarse de los productos de inteligencia.

La capacidad de procesar grandes cantidades de datos y a la vez pensar críticamente se convierte en una habilidad invaluable para la práctica de Ciberinteligencia. Con este artículo, ni los predecesores o futuros pretendo cubrir en profundidad las herramientas o metodologías sino simplemente sentar las bases de hacia dónde ir y que hacer, hablamos de herramientas pues bien pueden empezar por algunas como: Feeds RSS, Maltego, Zmap, Nmap, Proyecto HoneyPot, Wireshark, Cuckoo Sandbox, etc.

Una vez que el analista transitó un camino y cuenta en su cuenta con saldo suficiente, es importante que comience a perfilarse en que subdisciplina de la ciberinteligencia va a desarrollar su carrera en profundidad. Eventualmente sucede que el analista tiende a irse al lugar donde mayor confort profesional y técnico tiene, lo que redundará en ser más competente en esa área. Algunas de las subdisciplinas que podemos encontrar son:

I) Operaciones de recolección de información.

Cuando se trata esta subdisciplina, parece llevarnos al campo de lo militar o cuanto menos a acciones de gobierno, especialmente por el uso de la palabra “operaciones”. Sin embargo, en este caso no es tan así, la idea de usar este término refiere más a tratar el concepto de un proceso sostenido en el tiempo y no a una única acción.

Cuando nos ponemos a pensar entonces cual es el estándar correcto para realizar una recolección de datos nos encontramos con variedades de formas programáticas, por lo que, ante esta gran variedad de formas, tomé tres categorías o tipos de recolección para entender de donde vienen los datos y luego ver así tres tipos de datos; los tres tipos de recopilación de datos son 1) Pasiva, 2) Híbrido; y 3) Activo.

Pasiva	Son los datos recopilados en redes o sistemas de información sobre los cuales se tiene responsabilidad. Un claro ejemplo sería la captura de tráfico interno de la red, recopilando los registros del sistema, monitoreando los foros internos y toda otra actividad interna que lleve adelante el organismo o empresa; es como realizar evaluaciones de equipos rojos u oponentes. Lo relevante en este tipo es resaltar que el término Pasivo se refiere a que quien recolecta data no se involucra directamente con un adversario, oponente o su infraestructura.
Híbrido	Son los datos compartidos de otras redes o sistemas de información o recopilados en redes diseñadas para atraer a los adversarios u oponentes. Un ejemplo de ello puede ser una entidad financiera compartiendo su información con otra entidad financiera, la primera entidad puede haber sido víctima de un ataque y con esta info la otra entidad financiera podrá prepararse para repeler ese tipo de ataque. Otro claro ejemplo son los Honeypots dispuestos para atraer a los adversarios y así interactuar con ellos. La recolección de datos híbridos es un aspecto clave para el Subsistema de Inteligencia de Amenazas.
Activo	Son los datos obtenidos de redes externas o sistemas de información bajo la influencia del adversario. Acá cobra cabal relevancia entender que las redes o sistemas de información bajo la influencia de un adversario podrían no ser propiedad o controlados por dicho adversario. Un ejemplo de esto sería un servidor de Comando y Control (C2) que se emplea con conectarse al malware. El servidor C2 puede pertenecer a una víctima involuntaria mientras esa siendo utilizado por el adversario. La recolección activa de datos requiere generalmente que los analistas responsables de la reunión de información tengan acceso a datos confidenciales, participen de operaciones de desmantelamiento realizadas por el gobierno o lleven a cabo operaciones policiales bajo órdenes judiciales. Este tipo de recopilación de datos deber realizarse cuidadosamente para no caer luego en una nulidad de prueba por vulnerar derechos de privacidad entre otros, acá las buenas prácticas son cruciales.

Una vez que superamos esta etapa de recolección de datos, pasamos a tratar de entender el tipo de datos recopilados. Dijimos que son tres los tipos de clasificaciones de datos que podemos emplear, las que son: 1) Datos brutos; 2) Datos explotados; y 3) Datos de producción.

1) Datos brutos.

Son los datos no evaluados recopilados de una fuente. Esta clase de datos puede ser el más fructífero, pero a su vez es el que requiere más tiempo para procesar y analizar. Debe incluir detalles en bruto como direcciones IP, registros de red, mensajes completos de foros, etc.

2) Datos explotados.

Son los datos ya procesados y explotados (analizados) por otro analista que contiene sin embargo datos brutos seleccionados. Debe contener datos en bruto y detalles técnicos (si están disponibles), pero puede ser solo datos en bruto que el analista encontró relevantes ó interesantes. Este tipo de datos debe incluir un análisis del significado o qué indican esos datos.

3) Datos de producción.

Son los datos que conformar ya un informe destinado a la difusión, que puede incluir datos en bruto o limitados. Generalmente los datos de producción solo pueden estar destinados a la concientización de un lector o puede estar destinado para sugerir acciones. Un ejemplo serían las advertencias dadas a los usuarios.

Muchas herramientas y enfoques están disponibles para analistas como la forensia digital y la respuesta a incidentes, la inteligencia de amenazas, el uso de los adversarios de foros de monitoreo, la suscripción de amenazas, la realización de búsquedas OSINT e incluso unirse a grupos especializados que comparten datos y análisis.

Sin embargo, el aspecto más importante de las Operaciones de Recolección de Ciberinteligencia es identificar correctamente las fuentes de datos y asegurarse que los datos son válidos. Cada vez que intente llevar a cabo operaciones de inteligencia, debe tener en cuenta que los datos o el análisis pueden ser incorrectos y que los datos falsos pueden colocarse con fines de contrainteligencia y engaño

II) Ciber-Contrainteligencia.

Tratar de comprender que es Contrainteligencia es simple: “brindar protección contra las operaciones de inteligencia del oponente”. El objetivo con la Contrainteligencia es prevenir, disuadir, derrotar, manipular, negar información al oponente y proteger la propia información, personal, material e instalaciones contra las actividades mencionadas anteriormente.

Si etiquetáramos a la CIbercontrainteligencia como todos los esfuerzos relacionados con la detección de intrusiones, entonces se convertiría en un término usado en exceso y el conjunto de habilidades no se restringiría de una manera útil. Tal así, que veremos que nos encontramos dentro de la Cibercontrainteligencia con 2 grandes ramas de acción:

1. Defensiva

Las acciones de defensa pueden ser tomadas o pensadas como acciones para identificar y contrarrestar intrusiones de oponentes antes que ocurran como así también los esfuerzos para identificar y minimizar el espectro de la amenaza. En muchos sentidos esto parecería ser el papel de acciones propias de ciberseguridad: reforzar las defensas y prevenir la intrusión.

Pues bien, lo cierto es que la intención es la de entender al adversario y minimizar el panorama de las amenazas que podrían explotar. El producto de ese esfuerzo suelen ser los informes y análisis que luego pueden utilizarse para complementar la seguridad de la información, de la red y del propio personal.

Una de las acciones más llevadas a cabo es la denominada “evaluación de equipo rojo”. Si bien el término es muy anglo sajón y su raigambre es el de las operaciones militares, no deja de ser aplicable y valido. Es pensar en un equipo (equipo rojo) que tiene como tarea realizar una evaluación de la red para determinar dónde hay puntos débiles, donde hay acceso a los sistemas de información, permanente tratando de vulnerar nuestro sistema, plataforma, red y al mismo personal.

Si bien parece ser razonable y simple, la verdad es que no lo es, el equipo rojo deber tener un comprensión y claridad de las tácticas adversarias, de las técnicas y procedimientos para actuar con una precisión quirúrgica como si fuera el adversario. El equipo rojo observa la red y los sistemas de información, evalúa los sistemas de seguridad en su lugar y evita las defensas para infiltrarse en el objetivo.

En esencia, el equipo rojo nos ayuda a identificar el panorama de amenazas para la organización e informar a la organización sobre cómo podría reducirlo.

Realizar evaluaciones regulares de la vulnerabilidad interna o externamente es otra de las formas de ayudar a lograr esto. La evaluación de la vulnerabilidad no soluciona los problemas, sino que identifica dónde y cómo los adversarios pueden intentar una intrusión. El verdadero poder en estas acciones viene de la mano de los análisis de los analistas de Cibercontrainteligencia y no simplemente de los informes automatizados.

Otro de los ejemplos que podemos encontrar como medida defensiva es la realización de análisis de amenazas. Éste debe realizarse con toda la información disponible, ya sea proveniente de OSINT, HUMINT ó análisis técnico realizado a través de acciones como la ingeniería inversa de un malware.

2. Ofensiva

Las acciones ofensivas pueden ser pensadas como interacciones con el adversario para recopilar en forma directa información sobre sus operaciones de recolección de inteligencia o para engañar. La Cibercontrainteligencia Ofensiva puede aprovecharse de varias maneras, incluyendo el uso marionetas (personajes falsos) en foros online para recopilar información sobre las operaciones de recolección de inteligencia del adversario (capacidades, víctimas, tácticas, etc.), conseguir o convertir agentes en doble agentes (con conciencia del hecho o sin ella) para infiltrar la organización, ó en publicar falsos informes ó información para engañar al adversario en sus intentos de intrusión.

Estos esfuerzos pueden realizarse tanto dentro como fuera de sus redes. Un equipo de acciones ofensivas podría ayudar a crear un honeypot dentro de una red adversaria para identificar actores maliciosos.

Además, este tipo de acciones llevadas a cabo por el equipo de defensa podría colocar archivos en el honeypot en las que el adversario podría estar interesado, pero que contuviese datos falsos o incorrectos; en este caso el adversario recuperaría los archivos con la información falsa, posiblemente propiedad intelectual corporativa, como una receta secreta, obvio creyendo que era real.

El engaño perpetrado compra a los equipos de defensa tiempo valioso, indicó la presencia del adversario, engañó al adversario posiblemente haciéndoles usar esa receta falsa en su producción, y en un escenario ideal el adversario produciría la falsa receta contribuyendo así en forma pública a establecer su responsabilidad en un acto de cibercrimen.

Es posible incorporar el pensamiento y entendimiento ofensivo de la Cibercontrainteligencia en operaciones que de otro modo no estarían relacionadas. El engaño y los falsos indicadores para engañar y retrasar a los adversarios durante una operación sobre la red informática son invaluables, un claro ejemplo de ello es el examen llevado a cabo por Kaspersky Lab en la campaña de malware “La Máscara”.

En este ejemplo, los analistas de Kaspersky Lab determinaron que, dado el gran número de víctimas en Sudamérica, así como el uso del idioma nativo en español en el código del malware, indicaban que el adversario era probablemente español. La naturaleza avanzada de la operación de la red informática “La Máscara” y el costo que estaría asociado con ella contribuyeron a la idea que una organización de gobierno fue la responsable de ejecutar esa operación.

El desarrollo de Malware y las campañas de operadores podrían ser alentados para que introdujeran información destinada a engañar a sus oponentes (en este caso, el equipo de Kaspersky Lab). Con una comprensión del análisis de intrusos y la inteligencia de amenazas, el equipo ofensivo de Cibercontrainteligencia podría asesorar para que se incluyera la lengua española en el código y en las posibles víctimas de Sudamérica o habla hispana.

Claro está que estos esfuerzos no incluirían la interacción directa con el adversario, el equipo de Kaspersky, pero en su lugar se sembraría información falsa la que podría impactar en los oponentes indirectamente en un tiempo posterior. En este escenario, la atribución aplicada en el informe sería incorrecta y se perdería tiempo de análisis valioso, contrarrestando así los esfuerzos de inteligencia del equipo de Kaspersky mientras se protege la operación del gobierno.

III) Inteligencia de Amenazas

En primer lugar, debemos responder a la pregunta: ¿qué es la inteligencia de amenazas? Gartner ha definido la inteligencia de amenazas como: “conocimiento basado en evidencia, que incluye contexto, mecanismos, indicadores, implicaciones y consejos prácticos, sobre una amenaza o peligro existente o emergente para los activos que se puede usar para informar decisiones sobre la respuesta del sujeto a esa amenaza o peligro."

En su totalidad, esta es una buena definición, pero ¿qué significa todo esto? ¿Cómo nos puede beneficiar la inteligencia de amenazas? La amenaza es a menudo un término abusado, especialmente cuando una amenaza para una organización puede no ser una amenaza para otra.

Para que exista la amenaza, debe haber una combinación de intención, capacidad y oportunidad. Sin estos tres factores, la "amenaza" que enfrenta una persona u organización no es una preocupación en ese momento. A medida que desglosamos los componentes de una amenaza, vemos tres áreas distintas que es importante comprender:

La intención es el deseo de un actor malicioso de apuntar a su organización.
La capacidad es su medio para hacerlo (como los tipos específicos de malware)
Oportunidad es la apertura que el actor necesita (como vulnerabilidades, ya sea en software, hardware o personal).

Como ejemplo, si un actor tiene la intención y la capacidad, pero la organización no es vulnerable o no hay ninguna oportunidad presente, entonces el actor simplemente no es una amenaza. Esta comprensión básica es extremadamente importante con respecto a la inteligencia de amenazas y por qué a menudo se abusa del término.

La inteligencia de amenazas a menudo se presenta en forma de Indicadores de Compromiso (IoC) o feeds de amenazas, aunque a pesar de varios intentos de los proveedores, no viene en forma de una hoja de cálculo XML. Por lo tanto, la inteligencia de amenazas requiere que las organizaciones se comprendan primero a sí mismas y luego comprendan al adversario (es cierto que se trata de un enfoque de estilo Sun Tzu).

Si una organización no comprende sus activos, infraestructura, personal y operaciones comerciales, no puede comprender si es una oportunidad para los actores maliciosos. Si una organización no se comprende a sí misma para identificar lo que los actores maliciosos podrían interesarles, entonces no puede reconocer adecuadamente la intención de los actores.

La inteligencia de amenazas es información analizada sobre la intención, oportunidad y capacidad de los actores maliciosos. Como un tipo de inteligencia, todavía se realiza a través del ciclo de la inteligencia: planificar, recopilar, procesar, producir y difundir información. La diferencia clave es que se enfoca en identificar amenazas. Esta información debe compararse con una organización para determinar si la inteligencia sobre amenazas es valiosa para esa organización.

Aquí es donde la fase de planificación se vuelve vital. Si la organización que está recibiendo inteligencia de amenazas no sabe cómo identificar qué información es aplicable a ellos, la inteligencia de amenazas será en su mayoría inútil. En algún momento, alguien tiene que tomar la decisión sobre si la inteligencia es aplicable. Puede ser el proveedor adaptado a sus necesidades, puede ser el cliente e idealmente serán ambos. Sin embargo, si nadie está adaptando la inteligencia de amenazas, es solo una masa de datos inaplicable.

La capacidad de producir o consumir inteligencia de amenazas a medida para la Agencia / Organismo puede proporcionarle opciones tácticas y estratégicas que impactan la seguridad.

IDEAS FINALES

En cuanto al contexto del ámbito Policial, de la Seguridad Pública ó Ciudadana, ningún Estado está ajeno al crecimiento prolífico de los Cibercrímenes o Ciberdelitos, tal es así que como ejemplo expongo el caso de CYBERPOL, entidad que en la búsqueda de actualizarse ah definido que se centra en tres áreas principales de investigación, es decir:

· Delitos Cibernéticos.

· Ataques Cibernéticos.

· Ciberinteligencia.

Su meta colectiva es entender las tendencias del Cibercimen y el Ciberterrorismo utilizando bases de datos para debilitar los ataques cibernéticos y al crimen organizado cibernético. Esto permitirá el desarrollo de programas de formación y actualización policial orientados a la gestión de riesgos cibernéticos y prevención.

El campo de la Cibercontrainteligencia es amplio y relativamente nuevo, por lo que resulta algo complicado dirigir y establecer eficientemente un equipo de Cibercontrainteligencia que produzca efectos efectivos y una inteligencia que brinde frutos para la organización.

Hay una lucha permanente, tanto en organismos de gobierno como en el sector privado, para llevar a cabo en forma eficaz una arquitectura y un mantenimiento adecuado de los sistemas, así como también la adquisición y empleo correcto de los sistemas tradicionales de defensa y algo menos en el establecimiento de equipos avanzados. La mitigación de estos fracasos comunes proporciona un mejor retorno de la inversión que el uso de equipos más avanzados y procesos de pensamientos por sí solos.

No ha duda que la Ciberinteligencia es una disciplina nueva y que como tal debe de recorrer un largo camino para que sea aceptada mundialmente como tal, asimismo no cabe duda que se desprende de su raíz que es la Inteligencia. Sin embargo, les dejo algunas ideas centrales a modo de conclusiones que considero podrán ayudar:

Más allá de lo muy específico, las cosas que busca comprender han sido escritas o encontradas por numerosos individuos: reúna información disponible antes de reinventar la rueda. Use procesos conocidos y luego adáptelos a sus necesidades.
Las herramientas no proporcionan inteligencia. Los feeds de datos no dan inteligencia de amenazas. No hay fuentes de datos "inteligentes". La inteligencia de cualquier tipo requiere análisis. El análisis es realizado por humanos. La automatización, el análisis y las diversas herramientas pueden aumentar drásticamente la efectividad de los analistas, pero siempre debe haber analistas involucrados en el proceso.
No importa cuánto acceso tenga a la inteligencia, será casi inútil sin su capacidad de identificar lo que es aplicable a usted o su organización. Es necesario conocer su organización desde los procesos de negocios hasta los activos y servicios en la red.
Organizarse, procedimentar y estandarizar el tratamiento de la información y todo lo que conlleva el ciclo de la inteligencia es vital para sostener toda operación y realizar un informe o SITREP de calidad.
Capacitar, Capacitar, Capacitar y Concientizar, junto al esfuerzo de los analistas, son otros de los grandes pilares que hacen tanto a la Inteligencia como a la Ciberinteligencia.

Profesionales (policiales o encargados de hacer cumplir la ley) con la formación y equipamiento adecuado armados con informes de inteligencia procedentes de los analistas de CYBINT, serán capaces de buscar delincuentes, organizaciones criminales y detenerlos.

SDG