Respuesta a incidentes
Contención, erradicación y recuperación cuando algo ya pasó. Llegamos, entendemos el alcance real y sacamos al adversario — sin destruir la evidencia en el camino.
- Para quién es
- Cualquier organización que sospeche una intrusión activa, ransomware, fraude interno o exfiltración de datos.
- Duración típica
- Activación inmediata
- Marcos de referencia
- NIST SP 800-61r3SANS PICERLISO/IEC 27035
Si sospecha un incidente en curso, escríbanos a [email protected] con el asunto INCIDENTE. Priorizamos la respuesta.
Las primeras horas deciden el resultado
En la mayoría de los incidentes que atendemos, el daño evitable no lo causó el atacante: lo causó la reacción improvisada de las primeras horas. Servidores apagados que borraron la memoria volátil donde estaba la evidencia. Credenciales rotadas a medias que alertaron al adversario sin sacarlo. Respaldos restaurados sobre la misma vulnerabilidad que permitió la entrada, con reinfección en días.
Antes de que llamemos: cuatro cosas
Si está leyendo esto durante un incidente:
- No apague los sistemas comprometidos. Aíslelos de la red — desconecte el cable o mueva el segmento — pero manténgalos encendidos. La memoria RAM contiene evidencia que se pierde al apagar.
- No borre nada y no “limpie” el malware con el antivirus todavía. Necesitamos ver qué hizo y desde cuándo.
- Preserve los registros ahora. Muchos sistemas rotan sus registros en días. Sáquelos y guárdelos en un lugar aparte.
- Comuníquese fuera de banda. Si el adversario está dentro, probablemente lee el correo corporativo y el chat interno. Coordine la respuesta por otro canal.
Cooperación con terceros
Trabajamos con su aseguradora cibernética, su asesoría legal y, cuando corresponde, con las autoridades. El informe se estructura desde el inicio para sostener un reclamo y para responder a un requerimiento regulatorio, no como un documento técnico que después hay que traducir a las carreras.
Cómo lo ejecutamos
- 01
Activación y triaje
Establecemos qué sabemos, qué no, y qué no se debe tocar todavía.
- 02
Contención
Detener el avance sin alertar innecesariamente al adversario ni destruir evidencia. Apagar el servidor comprometido casi nunca es la primera medida correcta.
- 03
Investigación y alcance
Análisis forense sobre los sistemas afectados para responder la pregunta que su junta directiva hará: ¿hasta dónde llegaron y qué se llevaron?
- 04
Erradicación
Eliminación de toda persistencia. Un incidente mal erradicado se reabre en semanas, normalmente con más daño.
- 05
Recuperación y cierre
Retorno a operación por fases con monitoreo reforzado, y un informe que sirve tanto al equipo técnico como al proceso de reclamo del seguro.
Qué recibe
- Contención inicial y detención del avance del adversario
- Determinación del alcance real — qué se comprometió y qué no
- Erradicación verificada y plan de recuperación por fases
- Informe de causa raíz apto para aseguradora, regulador y junta directiva
- Lecciones aprendidas convertidas en controles y detecciones concretas