Primero: identificar y registrar
Antes de improvisar cambios, conviene registrar qué se observó, cuándo comenzó, qué equipos o cuentas parecen afectados y quién detectó el evento. Capturas, mensajes, alertas y horarios pueden ser importantes posteriormente.
Contener sin destruir evidencia
Desconectar un equipo puede ser apropiado en algunos escenarios, pero apagar, borrar archivos, reinstalar o ejecutar herramientas indiscriminadamente puede eliminar información relevante. La contención debe adaptarse al tipo de incidente.
Preservar credenciales y accesos críticos
Si existe sospecha de compromiso de cuentas, debe evaluarse el cambio de credenciales, cierre de sesiones y MFA, pero coordinándolo con la preservación de registros y el análisis de accesos. La reacción técnica debe mantener equilibrio entre seguridad inmediata y trazabilidad.
Definir alcance
Hay que determinar si el incidente afecta un único equipo o si involucra servidores, correo, nube, red, backups o terceros. Una investigación demasiado limitada puede dejar persistencia o causas sin detectar.
Documentar y aprender
Después de contener y analizar, la organización debería documentar causa, impacto, medidas tomadas y acciones preventivas. El objetivo no es solo resolver el evento actual, sino reducir la probabilidad de repetición.
¿Necesitás aplicar este análisis a un caso real?
Podemos revisar el contexto, definir el alcance técnico y acordar los próximos pasos de forma ordenada.