La ciberseguridad al 100% no existe. Tarde o temprano, las defensas caerán. El Plan de Respuesta a Incidentes (IRP) define exactamente qué hacer cuando eso ocurre para minimizar el impacto, expulsar al atacante y recuperar el control. Utilizaremos el marco de trabajo estándar de la industria desarrollado por el SANS Institute (PICERL).
El 90% del éxito en la respuesta a un incidente se basa en esta fase. No puedes defender lo que no conoces ni actuar si no tienes las herramientas.
El momento en el que saltan las alarmas (Alertas del EDR, del SIEM, o un usuario diciendo "mi pantalla tiene una calavera").
# Triage de alertas comunes
- Inicios de sesión desde IPs geolocalizadas en zonas anómalas (Imposible Travel).
- Ejecución de PowerShell codificado en Base64.
- Picos de tráfico saliente de madrugada (Exfiltración de datos).
# Objetivo: Declarar formalmente si es un "Falso Positivo" o un "Incidente de Seguridad Crítico".Nuestro IDS ha detectado actividad anómala en un servidor web. Ponte el sombrero de Analista SOC Nivel 2: Analiza el log interceptado, encuentra el Indicador de Compromiso (IoC) y bloquea la IP enemiga en el firewall antes de que sea tarde.
>_ INICIAR RETO CTF 08Detener la hemorragia. REGLA DE ORO: ¡No apagues el equipo infectado! Si lo apagas, destruirás la memoria RAM donde el malware suele ocultar sus claves o procesos activos.
Eliminar la causa raíz y las puertas traseras (backdoors) que dejó el atacante.
# Acciones típicas de erradicación:
- Borrar tareas Cron y claves de registro de persistencia (Run/RunOnce).
- Eliminar cuentas de usuario creadas por el atacante.
- Parchear la vulnerabilidad explotada (Ej: Actualizar un plugin de WordPress).Devolver los sistemas a producción de forma cuidadosa y monitorizada.
El paso más ignorado pero el más vital. Redactar un informe post-mortem respondiendo a: ¿Qué pasó? ¿Por qué pasó? ¿Qué hicimos bien? ¿Qué hicimos mal? ¿Cómo evitamos que nos pase el mes que viene?