Erradicación, recuperación y lecciones aprendidas

La erradicación elimina la amenaza de todos los sistemas afectados. Una vez que la contención confirma el alcance, la erradicación garantiza que no permanezcan mecanismos de persistencia: malware, puertas traseras, credenciales comprometidas o cuentas no autorizadas.

Una erradicación exhaustiva incluye:

• Eliminar todo el malware y los implantes identificados durante la investigación
• Eliminar las cuentas de usuario no autorizadas y las claves SSH añadidas por el atacante
• Eliminar las tareas cron, las claves Run del registro y las tareas programadas añadidas por el atacante
• Aplicar parches a la vulnerabilidad que permitió el acceso inicial
• Restablecer todas las credenciales comprometidas
• Reconstruir los sistemas gravemente comprometidos a partir de imágenes confiables

En los sistemas gravemente comprometidos, reconstruir a partir de una imagen limpia es más fiable que intentar eliminar todos los artefactos de malware. Los rootkits y los implantes persistentes pueden sobrevivir a los intentos de limpieza. El riesgo de pasar algo por alto es demasiado alto en los sistemas críticos.

Después de la limpieza, verifique lo siguiente:

• Realice un nuevo análisis con varias herramientas de AV/EDR
• Revise los mecanismos de persistencia (autoruns, cron y servicios)
• Compruebe si hay cuentas de usuario o claves SSH nuevas
• Supervise el tráfico de red para detectar conexiones de retorno de C2
• Ejecute comprobaciones de integridad en los binarios críticos

La recuperación restablece los sistemas a su funcionamiento normal de forma segura. Acelerar la recuperación sin confirmar la erradicación puede provocar una reinfección. Actividades clave:

• Restaurar, cuando sea necesario, a partir de copias de seguridad limpias verificadas
• Volver a poner los sistemas en línea gradualmente con una supervisión reforzada
• Verificar la integridad y el funcionamiento correcto de los sistemas
• Supervisar indicios del regreso del atacante

Restauración a partir de copias de seguridad:

• Verificar la integridad de las copias de seguridad (comparación de hashes)
• Restaurar en un entorno limpio, no en el mismo entorno comprometido
• Probar los sistemas restaurados antes de devolverlos a producción
• En caso de ransomware: asegurarse de que el malware se haya eliminado antes de restaurar los archivos

Después de la recuperación, aumente la intensidad de la supervisión:

• Registro mejorado en los sistemas restaurados durante más de 30 días
• Generar alertas ante cualquier actividad que coincida con las TTP del atacante
• Revisar los flujos de red para detectar conexiones inusuales
• Volver a validar los controles de acceso y los permisos

La revisión posterior al incidente (lecciones aprendidas) debe realizarse en un plazo de 1 a 2 semanas. Participantes: el equipo de IR, los responsables de los sistemas afectados y la dirección. Objetivo: comprender la causa raíz, mejorar las defensas y actualizar los procedimientos.

El RCA plantea la pregunta: ¿por qué ocurrió esto?

• ¿Cuál fue el vector de ataque inicial?
• ¿Qué controles fallaron o faltaban?
• ¿Cuánto tiempo estuvo presente el atacante antes de ser detectado?
• ¿Cómo se desplazó lateralmente el atacante?
• ¿A qué datos se accedió o cuáles se exfiltraron?

Métricas clave de IR que se deben supervisar:

• MTTD — Tiempo medio de detección
• MTTR — Tiempo medio de respuesta/recuperación
• MTTC — Tiempo medio de contención
• Número de sistemas afectados
• Alcance de la exposición de datos

Resultados de las lecciones aprendidas:

• Actualizar los playbooks de IR con las nuevas TTP observadas
• Implementar las capacidades de detección que falten
• Aplicar parches a las vulnerabilidades identificadas
• Programar capacitaciones sobre las deficiencias detectadas
• Actualizar las plantillas de comunicación

¿Por qué suele preferirse reconstruir un sistema gravemente comprometido a partir de una imagen limpia en lugar de intentar limpiarlo?

La erradicación elimina todos los artefactos del atacante: malware, puertas traseras, cuentas no autorizadas y persistencia de C2. En los sistemas gravemente comprometidos, es preferible reconstruir en lugar de limpiar. La recuperación restablece las operaciones a partir de copias de seguridad limpias verificadas y con una supervisión reforzada. La revisión posterior al incidente identifica la causa raíz, mide el MTTD/MTTR y mejora la respuesta futura mediante playbooks actualizados y nuevas capacidades de detección.