¿Cómo detenemos a un atacante que ya está dentro de nuestra red?
Conteniendo primero y eliminando después, en una única acción coordinada. Averigüe con discreción todo lo que pueda: qué equipos y cuentas están implicados, cómo entra y sale el atacante y dónde están sus herramientas. Después actúe a la vez: aísle los equipos afectados en el switch o el cortafuegos, bloquee sus destinos externos, desactive o restablezca las cuentas comprometidas desde un dispositivo limpio y cierre la vía de entrada, como una cuenta VPN o un servicio expuesto. Actuar por partes alerta al atacante, que puede cambiar de equipo o empezar a dañar sistemas. Llame a una empresa de respuesta a incidentes si aún no lo ha hecho y lleve un registro. Tras la contención, reconstruya las máquinas afectadas y vigile de cerca durante semanas. NetSenX no expulsa atacantes; muestra desde la red qué equipos están implicados y adónde se conectan, que es lo que necesita un plan de contención, y después detecta la actividad renovada.
Siga leyendo
Preguntas relacionadas
- ¿A qué velocidad se mueven los atacantes una vez dentro?
- ¿Cómo sabemos si el ordenador que usamos para la banca en línea está infectado?
- ¿Cómo sabríamos si la base de datos de nuestro ERP se copió fuera de la empresa?
- ¿Puede la monitorización de red distinguir una subida de copia de seguridad de un robo de datos?
- ¿Por qué un puesto de trabajo normal se conectaría de noche al controlador de dominio?
← Las 69 preguntas sobre Técnicas de ataque explicadasTodos los temas