¿Cómo sabemos que el atacante se ha ido de verdad?

No puede saberlo con certeza, pero sí construir una confianza razonable. Compruebe que entiende cómo entró y que esa vía está cerrada, que se han eliminado todas las cuentas y herramientas que creó y que se han restablecido las credenciales. Después busque la ausencia de actividad: ninguna conexión con sus servidores conocidos, ninguna cuenta de administrador nueva, ningún inicio de sesión sin explicación, ningún escaneo entre equipos. Busque en sus registros y endpoints los indicadores de la investigación, como direcciones IP, dominios y hashes de archivos. Mantenga una vigilancia reforzada durante al menos varias semanas, porque algunos atacantes esperan. Una evaluación de compromiso por parte de una empresa externa aporta una visión independiente. NetSenX apoya esta prueba de ausencia desde la red: el beaconing, los escaneos, el movimiento lateral y los volúmenes salientes inusuales se detectan en todos los planes, incluido Free, así que el silencio en los segmentos supervisados significa algo.

← Las 60 preguntas sobre Respuesta a incidentesTodos los temas