# ¿Cómo encontramos al paciente cero, la primera máquina que comprometió el atacante?

Trabaje hacia atrás desde lo que sabe, con ayuda de las marcas de tiempo. Empiece por la máquina donde se detectó el incidente, pregúntese qué otro equipo se conectó primero a ella de forma inusual y repita el proceso con ese equipo. Los registros de endpoints muestran inicios de sesión y programas nuevos; los del directorio, qué cuenta se usó desde qué ordenador; los del cortafuegos y la VPN, las primeras conexiones con el exterior. Los primeros contactos regulares con un servidor del atacante suelen señalar la primera máquina infectada. El paciente cero importa porque dice cómo entraron, y esa vía hay que cerrarla antes de recuperar los sistemas. Tenga en cuenta que la primera máquina que encuentre a menudo no es la primera infectada. Las alertas de NetSenX incluyen horas, equipos y destinos, y desde el plan Pro la correlación en toda la red une escaneos, sesiones nuevas y beaconing entre equipos en una sola historia, lo que acorta esta búsqueda.

FAQ: [Respuesta a incidentes](https://netsenx.com/es/faq/incident) · https://netsenx.com/es/faq/how-to-find-patient-zero

## Siga leyendo

- https://netsenx.com/es/detect-ransomware-on-the-network
- https://netsenx.com/es/nis2-incident-reporting-deadlines

## Preguntas relacionadas

- [¿Qué es una imagen forense y cuándo la necesitamos?](https://netsenx.com/es/faq/what-is-a-forensic-image)
- [¿Qué es la cadena de custodia de las pruebas digitales?](https://netsenx.com/es/faq/what-is-chain-of-custody-for-digital-evidence)
- [¿Cómo conservamos los registros antes de que se sobrescriban?](https://netsenx.com/es/faq/how-to-preserve-logs-before-they-are-overwritten)
- [¿Qué significa la erradicación en la respuesta a incidentes?](https://netsenx.com/es/faq/what-does-eradication-mean-in-incident-response)
- [¿Cómo restablecemos las contraseñas de forma segura después de una brecha?](https://netsenx.com/es/faq/how-to-reset-passwords-safely-after-a-breach)