Acciones de respuesta

Detectar una amenaza es solo la mitad del trabajo. La respuesta consiste en las acciones que se llevan a cabo para detener y eliminar las consecuencias de un ataque.

Una respuesta rápida limita los daños y evita que la amenaza se propague.

El aislamiento (contención de red) desconecta un endpoint infectado de la red.

La máquina aún puede comunicarse con la consola de EDR para su investigación, pero no puede propagar malware ni filtrar datos.

Los analistas pueden detener de forma remota un proceso dañino.

Finalizar el proceso detiene la actividad actual del atacante, como el cifrado o el robo de datos, mientras continúa la limpieza exhaustiva.

La cuarentena mueve un archivo sospechoso a una ubicación segura y bloqueada.

El archivo ya no puede ejecutarse, pero se conserva como evidencia y puede restaurarse si finalmente resulta ser seguro.

Una vez comprendida la amenaza, los equipos bloquean sus indicadores de compromiso (IOC) en todas partes.

• Hashes de archivos maliciosos
• Direcciones IP y dominios maliciosos

Esto protege de inmediato a todos los demás endpoints.

Algunas acciones pueden ejecutarse automáticamente cuando se genera una alerta.

Por ejemplo, un endpoint podría aislarse en el instante en que se detecta un comportamiento de ransomware, incluso antes de que una persona lea la alerta.

Antes de realizar la limpieza, los analistas recopilan pruebas de forma remota.

• Recopilar listas de procesos en ejecución
• Extraer archivos sospechosos para analizarlos
• Abrir un shell remoto en el endpoint

Esto permite obtener una visión clara del ataque.

La remediación elimina la amenaza y revierte sus cambios.

• Eliminar archivos maliciosos
• Eliminar entradas de persistencia
• Revertir cambios de configuración dañinos

Algunas herramientas EDR pueden revertir los cambios realizados por el malware, como restaurar archivos cifrados por ransomware.

Cuando no es posible revertir los cambios, la máquina se reconstruye a partir de una imagen limpia.

La respuesta forma parte de un ciclo más amplio:

• Identificar la amenaza
• Contenerla (aislamiento)
• Erradicarla (remediación)
• Recuperar el sistema
• Aprender de lo ocurrido

Después de un incidente, los equipos revisan lo sucedido.

Registran cómo logró entrar el atacante y actualizan las detecciones y las políticas para que el mismo ataque no pueda volver a tener éxito.

Compruebe sus conocimientos sobre las acciones de respuesta.

Entre las acciones de respuesta de EDR se incluyen:

• Aislamiento del host, finalización de procesos y puesta en cuarentena de archivos
• Bloqueo de IOC y contención automatizada
• Remediación, reversión y lecciones aprendidas

Estos pasos siguen el ciclo de identificación, contención, erradicación y recuperación.