Contención, erradicación y recuperación

Una vez confirmado y delimitado el alcance de un incidente, la respuesta pasa por tres fases consecutivas: Contención (detener la propagación del daño), Erradicación (eliminar todos los puntos de apoyo del atacante del entorno) y Recuperación (restaurar los sistemas a su funcionamiento normal y verificar su integridad). Cada fase tiene objetivos y criterios de verificación distintos. Pasar a la recuperación antes de completar la erradicación es un error común que provoca una reinfección a causa de los mecanismos de persistencia del atacante que aún permanecen.

La contención se lleva a cabo en dos etapas. La contención a corto plazo proporciona estabilización inmediata —aislar de la red los sistemas afectados, bloquear las direcciones IP del atacante en el firewall y deshabilitar las cuentas comprometidas— para detener el daño activo. La contención a largo plazo implementa controles más duraderos que permiten a la organización seguir operando mientras avanzan la investigación y la erradicación; por ejemplo, segmentar la zona de red comprometida en lugar de desconectarla por completo.

Un principio fundamental: preserve las evidencias antes de aplicar medidas de corrección. Los analistas deben capturar datos volátiles (volcado de memoria, procesos en ejecución y conexiones de red activas) e imágenes forenses de disco ANTES de realizar cualquier acción que altere el estado del sistema. Reiniciar un sistema, ejecutar herramientas de eliminación de malware o crear una nueva imagen sin capturar las evidencias destruye el registro forense necesario para comprender la cronología del ataque y también puede destruir evidencias legales necesarias para procesar a los atacantes o cumplir los requisitos de notificación regulatoria.

La erradicación elimina toda presencia del atacante del entorno. Esto es más complejo que simplemente borrar archivos de malware. Los atacantes persistentes establecen múltiples puntos de apoyo: tareas programadas, claves de ejecución del registro, cuentas de usuario nuevas, web shells en servidores, firmware modificado y consentimientos no autorizados para aplicaciones OAuth. Una lista de comprobación de erradicación completa debe abordar todas las técnicas utilizadas por el atacante según las evidencias de la fase de investigación. Una erradicación incompleta provoca una reinfección, a menudo pocas horas después de devolver los sistemas a producción.

Para los endpoints comprometidos por malware sofisticado o rootkits, suele preferirse volver a crear la imagen (borrar el sistema y reinstalarlo desde una imagen conocida como limpia) en lugar de intentar limpiar el sistema infectado. Los rootkits pueden ocultarse en ubicaciones a las que el antivirus no puede acceder, y el malware sofisticado puede haber modificado archivos binarios del sistema que son difíciles de identificar y restaurar. La decisión entre limpiar y volver a crear la imagen depende de la sofisticación del malware, la sensibilidad de los datos del sistema y la disponibilidad de imágenes conocidas como limpias para una redistribución rápida.

La erradicación debe incluir el cierre de la vulnerabilidad de acceso inicial; de lo contrario, el mismo atacante (u otro diferente) puede volver a entrar por la misma puerta. Entre las vulnerabilidades comunes de acceso inicial se incluyen: CVE de software sin parches explotadas mediante servicios expuestos a Internet, MFA débil o inexistente en sistemas de acceso remoto (VPN, RDP), phishing (que requiere capacitación de concienciación sobre seguridad y mejoras en el filtrado de correo electrónico) y compromiso de la cadena de suministro (que requiere una revisión de la seguridad del proveedor). Aplique los parches y refuerce la seguridad antes de devolver los sistemas a producción.

La recuperación devuelve los sistemas afectados a su funcionamiento normal a partir de un estado conocido como bueno. Los pasos de recuperación incluyen: restaurar desde copias de seguridad limpias (verificando su integridad antes de la restauración), reconstruir los sistemas a partir de imágenes maestras, reconfigurar los controles de red (eliminando las restricciones temporales de contención), volver a habilitar las cuentas deshabilitadas (restableciendo las contraseñas) y reincorporar los sistemas a producción de forma gradual en lugar de hacerlo todos a la vez. La reincorporación gradual permite supervisar cada fase para detectar indicios de reinfección.

El ransomware ataca específicamente los sistemas de copias de seguridad para impedir la recuperación sin pagar. Una defensa eficaz de las copias de seguridad requiere: copias de seguridad externas que no estén conectadas a la red principal, copias de seguridad inmutables (Object Lock, almacenamiento WORM) que no puedan cifrarse ni eliminarse, copias de seguridad aisladas físicamente para los sistemas críticos y procedimientos de restauración probados. La integridad de las copias de seguridad debe verificarse periódicamente: una copia que no se puede restaurar no es una copia de seguridad. Las organizaciones deben conocer la fecha de la última copia de seguridad limpia para determinar el punto de recuperación.

Después de la erradicación y la recuperación, debe mantenerse una supervisión reforzada durante un periodo prolongado (normalmente, de 30 a 90 días). Algunos atacantes sofisticados instalan puertas traseras secundarias que se activan después de detectar y eliminar su acceso principal. La supervisión reforzada incluye: aumentar la sensibilidad de las alertas del SIEM para los IoC conocidos del atacante, supervisar las consultas DNS a dominios similares a la infraestructura del atacante, vigilar la comunicación con cualquier dirección IP observada durante el incidente y activar alertas ante cualquier actividad de cuentas creadas recientemente.

La gestión de las comunicaciones durante un incidente es tan crítica como la respuesta técnica. La comunicación interna mantiene la coordinación de la organización y evita los rumores. La comunicación externa con clientes, socios, organismos reguladores y posiblemente los medios de comunicación debe controlarse cuidadosamente: las divulgaciones prematuras, inexactas o jurídicamente problemáticas generan responsabilidad adicional. El asesor jurídico debe revisar todas las comunicaciones externas antes de su publicación. Las notificaciones regulatorias (el requisito de 72 horas del RGPD y el requisito de 60 días de HIPAA) tienen plazos estrictos que comienzan a contar desde la fecha del descubrimiento, no desde la fecha de confirmación.

Un incidente no se cierra cuando pasa la crisis inmediata; se cierra cuando se cumplen todos los criterios de verificación: se han eliminado y verificado todos los puntos de apoyo conocidos del atacante, se ha aplicado un parche a la vulnerabilidad de acceso inicial, se han restaurado todos los sistemas afectados y se ha verificado que están limpios, la supervisión reforzada está activa, se han enviado las notificaciones regulatorias requeridas y se ha programado una revisión posterior al incidente. Cerrar un incidente prematuramente es un error común que permite que la persistencia de bajo nivel del atacante se convierta en un segundo incidente.

Ponga a prueba su comprensión de los conceptos de CompTIA Security+ (SY0-701) de esta lección.

En esta lección aprendió que: la contención detiene el daño activo mediante el aislamiento, los bloqueos del firewall y la deshabilitación de cuentas, la erradicación requiere eliminar TODOS los puntos de apoyo del atacante, incluidos los mecanismos de persistencia, no solo los archivos de malware, y la recuperación debe utilizar copias de seguridad anteriores a la fecha del compromiso e incluir una supervisión reforzada durante más de 30 días. A continuación exploraremos la revisión posterior al incidente y las lecciones aprendidas.