Para empezarUn intruso ya está dentro de tu red y cada segundo que tardas en actuar multiplica el daño. Vamos a ver cómo contener el desastre sin perder pruebas clave.
El coste de dudar
El tiempo medio de detección de una brecha supera los doscientos días, pero la contención en las primeras dos horas marca la diferencia entre un incidente controlado y una catástrofe financiera y reputacional.
Contención de incidentes
La contención inicial es el proceso táctico para limitar el radio de acción del atacante, aislando los sistemas comprometidos para evitar el movimiento lateral y la exfiltración de datos, antes de proceder a la erradicación.
Pasos de contención rápida
Ante una alerta confirmada de intrusión, debes seguir una secuencia rigurosa para aislar el nodo afectado sin alertar ni corromper el entorno.
Marca cada paso al entenderlo · 0/4
Aislamiento por línea de comandos
En sistemas Linux comprometidos, puedes cortar las conexiones de red activas de un proceso sospechoso o deshabilitar la interfaz de red de inmediato.
$ ip link set dev eth0 down
[+] Interface eth0 successfully disabled.
$ ss -tulpn | grep ESTAB
tcp ESTAB 0 0 192.168.1.50:ssh 203.0.113.45:54321 users:(("nc",pid=4821,fd=3))
El error fatal del reinicio
Nunca apagues ni reinicies un equipo comprometido de forma abrupta a menos que sea estrictamente necesario. Al apagarlo, pierdes toda la evidencia volátil alojada en la memoria RAM, como conexiones activas, contraseñas en texto plano y código malicioso residente solo en memoria.
VLAN de cuarentena
Una VLAN de cuarentena es un segmento de red aislado y sin salida a Internet ni al resto de la red interna, donde se redirigen los equipos sospechosos para analizarlos de forma segura sin interrumpir totalmente su conectividad para el forense.
¿Te acuerdas? Toca para comprobarlo
Atajos: ← → para cambiar de pieza · / para buscar