Respuesta a incidentes

Un SIEM reúne en un solo lugar los registros del cortafuegos, los servidores, los equipos y la nube, y los compara entre sí. Un inicio de sesión fallido no significa nada. Doscientos en cuatro minutos, seguidos de uno correcto, son el comienzo de un incidente.

Desarrollo típico: a las dos y media de la madrugada la correlación avisa de una salida de datos inusual. Minutos después, la guardia está frente a la pantalla y lo primero que comprueba es si se trata de una copia de seguridad o no.

Primero detenemos la propagación. Según la situación, aislamos los sistemas infectados, bloqueamos cuentas de usuario o ajustamos las reglas del cortafuegos.

Desarrollo típico: ante un ataque de ransomware separamos los sistemas afectados del resto de la red antes de que el cifrado pase del primer servidor. Cuánto se puede salvar depende de lo pronto que actúe la detección, por eso no prometemos un porcentaje de antemano.

Con métodos forenses determinamos dónde empezó el ataque, hasta dónde llegó y qué daños causó.

Desarrollo típico: tras una intrusión en una base de datos revisamos los registros del periodo, identificamos la vulnerabilidad utilizada y dejamos constancia de los registros afectados. Esa es la base para la notificación según el artículo 33 del RGPD y aclara también si hace falta notificar.

Del análisis sale el plan: qué debe desconectarse de inmediato, qué se reinstala y qué credenciales se consideran comprometidas. El orden depende de lo que menos cueste a su actividad.

Desarrollo típico: si un atacante ha mantenido el acceso durante meses, lo eliminamos por fases. Primero cerramos las vías de entrada, después retiramos sus herramientas y al final se renuevan todas las credenciales. Cambiar el orden le dice al atacante que ha sido descubierto.

Restauramos los sistemas afectados y cerramos la brecha por la que entró el ataque.

Desarrollo típico: tras un ataque de phishing con éxito no basta con restablecer las cuentas afectadas. Hace falta además un segundo factor, un filtro más estricto y una formación sobre el patrón exacto que funcionó.

Al final hay un informe con lo ocurrido, los sistemas afectados, la brecha por la que empezó y las medidas que cierran ese camino de forma permanente.

Desarrollo típico: recibe una cronología del incidente, la evaluación de las debilidades aprovechadas y una lista de medidas ordenadas por esfuerzo y efecto, para que usted decida qué va primero.