¿Cómo contenemos un incidente sin destruir las pruebas?

Corte la red, no la corriente, y copie antes de limpiar. Aislar una máquina afectada en el puerto del switch, en el cortafuegos o mediante la herramienta de endpoints impide que el atacante la use y mantiene intactos la memoria, los procesos en ejecución y las conexiones abiertas para la investigación. Antes de reinstalar máquinas, borrar archivos o eliminar cuentas, exporte los registros pertinentes, anote las cuentas y archivos sospechosos y, si los especialistas lo aconsejan, haga una captura de memoria y una imagen del disco. Bloquee los destinos del atacante en el cortafuegos, pero anote cuáles y cuándo. Si tiene que elegir entre rapidez y pruebas, por ejemplo porque el cifrado se extiende, gana la rapidez: primero frene el daño. Las pruebas de red son las más fáciles de perder, porque muchos equipos guardan poco historial; NetSenX conserva sus alertas con hora, equipos y destinos durante el historial que incluye su plan.

← Las 60 preguntas sobre Respuesta a incidentesTodos los temas