# ¿Cómo contenemos un incidente sin destruir las pruebas?

Corte la red, no la corriente, y copie antes de limpiar. Aislar una máquina afectada en el puerto del switch, en el cortafuegos o mediante la herramienta de endpoints impide que el atacante la use y mantiene intactos la memoria, los procesos en ejecución y las conexiones abiertas para la investigación. Antes de reinstalar máquinas, borrar archivos o eliminar cuentas, exporte los registros pertinentes, anote las cuentas y archivos sospechosos y, si los especialistas lo aconsejan, haga una captura de memoria y una imagen del disco. Bloquee los destinos del atacante en el cortafuegos, pero anote cuáles y cuándo. Si tiene que elegir entre rapidez y pruebas, por ejemplo porque el cifrado se extiende, gana la rapidez: primero frene el daño. Las pruebas de red son las más fáciles de perder, porque muchos equipos guardan poco historial; NetSenX conserva sus alertas con hora, equipos y destinos durante el historial que incluye su plan.

FAQ: [Respuesta a incidentes](https://netsenx.com/es/faq/incident) · https://netsenx.com/es/faq/how-to-contain-an-incident-without-destroying-evidence

## Siga leyendo

- https://netsenx.com/es/detect-ransomware-on-the-network
- https://netsenx.com/es/nis2-incident-reporting-deadlines

## Preguntas relacionadas

- [¿Desconectamos de la red un ordenador infectado o lo apagamos?](https://netsenx.com/es/faq/should-we-unplug-or-switch-off-an-infected-computer)
- [¿Qué debemos evitar durante un incidente cibernético?](https://netsenx.com/es/faq/what-not-to-do-during-a-cyber-incident)
- [¿Cómo encontramos al paciente cero, la primera máquina que comprometió el atacante?](https://netsenx.com/es/faq/how-to-find-patient-zero)
- [¿Qué es una imagen forense y cuándo la necesitamos?](https://netsenx.com/es/faq/what-is-a-forensic-image)
- [¿Qué es la cadena de custodia de las pruebas digitales?](https://netsenx.com/es/faq/what-is-chain-of-custody-for-digital-evidence)