El ciclo de vida de la respuesta a incidentes: preparación, identificación y contención

La respuesta a incidentes (IR) es el enfoque organizado para abordar y gestionar incidentes de seguridad. El objetivo es minimizar los daños, reducir el tiempo de recuperación y evitar que vuelvan a ocurrir. Es fundamental contar con un plan de IR documentado antes de que ocurra un incidente.

Principales marcos de IR:

• NIST SP 800-61: Preparación → Detección/Análisis → Contención/Erradicación/Recuperación → Posterior al incidente
• SANS PICERL: Preparación, Identificación, Contención, Erradicación, Recuperación, Lecciones aprendidas
• CISA: alineado en términos generales con NIST

Actividades de preparación:

• Documentar la política y los procedimientos de IR
• Formar y capacitar al equipo de IR (CIRT)
• Implementar herramientas de registro y detección
• Establecer canales de comunicación y vías de escalamiento
• Realizar ejercicios de simulación y escenarios prácticos
• Crear runbooks para los tipos de incidentes más comunes

Preparativos antes de que ocurran los incidentes:

• SIEM centralizado para el análisis de registros
• Estación de trabajo forense con bloqueadores de escritura y herramientas de creación de imágenes
• Contactos legales y de RR. HH. identificados con antelación
• Servicio de retainer de IR con una empresa forense externa
• Copias de seguridad sin conexión verificadas y accesibles

La identificación consiste en detectar y confirmar que ha ocurrido un incidente. Fuentes de detección:

• Alertas del SIEM y eventos del IDS/IPS
• Informes de usuarios ("mi computadora se comporta de forma extraña")
• Fuentes de inteligencia sobre amenazas
• Detección de anomalías (horarios de inicio de sesión inusuales, transferencias de datos)
• Notificación de terceros (fuerzas del orden, socios)

Clasifique los incidentes según su gravedad para priorizar la respuesta:

• P1/Crítico: brecha activa, exfiltración de datos, ransomware
• P2/Alto: cuenta privilegiada comprometida, malware detectado
• P3/Medio: incumplimiento de políticas, actividad sospechosa
• P4/Bajo: intentos fallidos de inicio de sesión, configuración incorrecta menor

La contención detiene la propagación de los daños sin destruir las evidencias. Hay dos tipos:

• Contención a corto plazo: aislar los sistemas afectados (cuarentena de red)
• Contención a largo plazo: eliminar los artefactos maliciosos mientras se mantienen las operaciones

Acciones de contención:

• Aislamiento de red: cuarentena mediante VLAN y reglas de bloqueo del firewall
• Bloqueo de cuentas: deshabilitar las credenciales comprometidas
• Finalización mediante EDR: terminar los procesos maliciosos a través del EDR
• Sumidero DNS: redirigir los dominios de C2 para impedir las conexiones de retorno
• Preservar las evidencias ANTES de borrar

Durante los incidentes importantes, utilice una estructura de mando clara:

• Responsable del incidente — coordinación general
• Responsable técnico — investigación y corrección
• Responsable de comunicaciones — notificaciones internas y externas
• Asuntos legales/cumplimiento — obligaciones normativas

Una IR eficaz ejecuta la contención, la investigación y las comunicaciones en paralelo, no de forma secuencial. Mientras el equipo técnico contiene la amenaza, el área legal prepara las notificaciones y la dirección se comunica con las partes interesadas. El tiempo es importante: cada hora de acceso sin contener causa más daños.

Documente todo durante un incidente:

• Línea de tiempo de los eventos con marcas de tiempo
• Todas las acciones realizadas (quién, qué y cuándo)
• Evidencias recopiladas y cadena de custodia
• Decisiones tomadas y su justificación

Esta documentación es esencial para los procedimientos legales y la revisión posterior al incidente.

¿Durante qué fase de la IR aislaría un sistema infectado de la red para impedir que el malware se propague?

El ciclo de vida de la IR (NIST) consta de: Preparación, Identificación, Contención, Erradicación, Recuperación y Posterior al incidente. La preparación es la fase más importante: forme el equipo, prepare las herramientas y cree los runbooks antes de que ocurran los incidentes. La identificación confirma que existe un incidente. La contención detiene la propagación mientras preserva las evidencias. Documente cada acción con marcas de tiempo.