Tres fases críticas y bajo presión del ciclo de respuesta: contener (frenar), erradicar (eliminar) y recuperar (volver a la normalidad de forma segura).
Contención
Frenar la propagación del ataque, como aislar a un enfermo. Lo habitual es sacar de la red la máquina comprometida.
La tensión clave: apagar de golpe destruye la evidencia de memoria. Por eso a menudo se aísla sin apagar (fuera de la red, pero viva) para capturar la RAM antes.
Erradicación
Eliminar la amenaza por completo. No basta con borrar un archivo: el atacante pudo dejar persistencia (varias puertas traseras). En compromisos serios, muchas veces la opción segura es reinstalar desde cero.
Recuperación
| Acción | Cuidado |
|---|---|
| Restaurar desde backups | Que sean limpios (anteriores al ataque y no infectados) |
| Volver servicios a producción | De forma gradual y verificada |
| Vigilar un tiempo | El atacante puede intentar volver |
Restaurar un respaldo infectado o reconectar antes de erradicar = reabrir la puerta. Recuperar mal puede ser peor que no recuperar.
Métricas que importan
- MTTD (tiempo medio de detección) y MTTR (tiempo medio de respuesta): cuanto más bajos, menor el daño.
Para erradicar bien conviene entender la amenaza. A veces hay que estudiar el propio malware. Esa intro al análisis de malware cierra el pilar.
CONTENIDO PARA MIEMBROS
Inicia sesión para leer la clase
La clase escrita completa es para quienes tienen cuenta. Crearla es gratis.