¿Qué significa la erradicación en la respuesta a incidentes?
La erradicación consiste en eliminar por completo la presencia del atacante antes de volver a poner en marcha los sistemas. Incluye borrar el malware y las herramientas, cerrar la vía de entrada, eliminar las cuentas, tareas programadas y software de acceso remoto que creó el atacante, restablecer todas las credenciales que puedan haberse expuesto y parchear las vulnerabilidades que usó. En la práctica, reconstruir las máquinas afectadas desde imágenes limpias suele ser más fiable que limpiarlas, porque es difícil demostrar que se ha encontrado cada cambio. La erradicación falla cuando es parcial: un atacante que conserva un punto de apoyo vuelve, a veces semanas después. Debe planificarse a partir de las pruebas de la investigación, no a ciegas. Vigilar la red después comprueba si funcionó: NetSenX detecta un nuevo beaconing hacia servidores externos conocidos o nuevos y sesiones laterales nuevas, en todos los planes.
Siga leyendo
Preguntas relacionadas
- ¿Cómo restablecemos las contraseñas de forma segura después de una brecha?
- ¿Cómo sabemos que el atacante se ha ido de verdad?
- ¿Podemos seguir usando los ordenadores después de un ataque de ransomware?
- ¿Cómo nos recuperamos con seguridad después de un incidente cibernético?
- ¿Podemos seguir trabajando durante un incidente cibernético?
← Las 60 preguntas sobre Respuesta a incidentesTodos los temas