Un acceso a las tres de la mañana
Trabajas en soporte en una cadena de ópticas de Valladolid. A las nueve ves un aviso: alguien entró como «admin» a las tres de la mañana.
Nadie de la empresa trabaja a esa hora. Puede que sea un ataque, o puede que no.
Lo que hagas en la próxima media hora importa mucho. Esta lección te da los primeros pasos.
Al final de esta lección
Nota
Puedo decir los primeros pasos después de un incidente de seguridad.
Palabras clave
| Palabra | Qué significa | Ejemplo |
|---|---|---|
| Incidente | algo que daña o pone en peligro un sistema | |
| Log | archivo donde un sistema anota lo que pasa | |
| Contener | impedir que el daño se extienda | |
| Prueba | dato que muestra lo que pasó | |
| Dirección IP | número que identifica un equipo en la red | 203.0.113.7 |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Avisar, contener y conservar
Ante un incidente, hay tres primeros pasos.
Avisa enseguida a tu responsable o al equipo de seguridad. No lo arregles a escondidas.
Contén el daño: desconecta el equipo de la red o bloquea la cuenta.
Conserva las pruebas: no borres archivos ni logs. Anota qué viste y a qué hora.
Un error frecuente
Advertencia
Mucha gente cree que lo mejor es borrar el virus y reinstalar enseguida. Así se pierden las pruebas de cómo entró el atacante. Primero contén y conserva; reinstala solo cuando el equipo de seguridad lo diga.
Los logs cuentan lo que pasó
Casi todos los sistemas anotan lo que pasa en un log: quién entra, cuándo y desde qué dirección IP.
Un log tiene una línea por suceso. Con grep buscas las líneas que contienen una palabra.
Muchos intentos fallidos seguidos desde la misma IP son una mala señal. Si después hay un acceso correcto, alguien acertó la contraseña.
Prueba: buscar en un log
mkdir -p incidente && cd incidente
printf '%s\n' \
'2026-10-20 03:10:02 OK usuario=rosa ip=192.0.2.15' \
'2026-10-20 03:12:40 FALLO usuario=admin ip=203.0.113.7' \
'2026-10-20 03:12:41 FALLO usuario=admin ip=203.0.113.7' \
'2026-10-20 03:12:43 FALLO usuario=admin ip=203.0.113.7' \
'2026-10-20 03:12:45 OK usuario=admin ip=203.0.113.7' \
'2026-10-20 08:30:10 OK usuario=rosa ip=192.0.2.15' > accesos.log
# Solo los intentos fallidos
grep FALLO accesos.log
# Cuántos hay
grep -c FALLO accesos.log
# Todo lo que hizo esa dirección
grep 203.0.113.7 accesos.log
# Busca ahora las líneas de usuario=rosa.
Un buen aviso es corto y concreto
Cuando avises, di qué viste, dónde y a qué hora. Di qué has hecho ya y qué no has tocado.
No adivines culpables. Cuenta solo lo que muestran los datos.
Si hay datos personales afectados, la empresa tiene 72 horas para comunicarlo a la autoridad de protección de datos. Por eso cada minuto cuenta.
Ejemplo: un aviso al responsable
| Parte | Lo que escribes |
|---|---|
| Qué | Tres fallos y un acceso correcto como admin |
| Cuándo | 20 de octubre, entre las 03:12:40 y las 03:12:45 |
| Desde dónde | IP 203.0.113.7, desconocida |
| Qué he hecho | He bloqueado la cuenta admin a las 09:10 |
| Qué no he tocado | El servidor y sus logs |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.