Un mensaje que exige dinero
Un incidente de seguridad es un suceso que daña, o pone en riesgo, los datos o los servicios de una organización. Responder bien consiste en seguir unos pasos en orden: detectar, contener, eliminar la causa y recuperar.
El ordenador de contabilidad de un taller mecánico muestra un mensaje que exige dinero para devolver sus archivos. El dueño quiere formatearlo ya. Es el primer impulso, y casi siempre es un error.
Al final de esta lección
Nota
Puedo seguir los pasos de la respuesta a un incidente.
Palabras clave
| Palabra | Qué significa | Ejemplo |
|---|---|---|
| Incidente | un suceso que daña o pone en riesgo datos o servicios | |
| Plan de respuesta | los pasos escritos antes de que ocurra el incidente | |
| Contención | parar que el daño crezca, sin borrar nada todavía | aislar un equipo |
| Erradicación | quitar la causa del incidente | |
| Recuperación | volver a poner el servicio en marcha de forma segura | |
| Diario del incidente | la lista de lo que se hizo, con la hora y quién lo hizo |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Las fases de una respuesta a incidentes
La respuesta tiene cinco fases. Detectar: confirmar que el aviso es real. Contener: parar que crezca. Eliminar: quitar la causa. Recuperar: volver a la normalidad. Aprender: cambiar lo que falló.
Antes de todas ellas está la preparación: un plan escrito y una lista de a quién llamar. Con prisa, nadie inventa un buen plan.
Qué pregunta responde cada fase
| Fase | Pregunta | Ejemplo en el taller |
|---|---|---|
| Detectar | ¿Es real? | Confirmar que el mensaje no es una broma |
| Contener | ¿Cómo evito que crezca? | Desconectar el ordenador de la red |
| Eliminar | ¿Qué lo causó y cómo lo quito? | Quitar el programa y cambiar las contraseñas |
| Recuperar | ¿Cómo vuelve a funcionar? | Restaurar los archivos desde la copia |
| Aprender | ¿Qué cambiamos? | Hacer copias en un disco desconectado |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Por qué se contiene antes de eliminar
Contener es parar el daño sin borrar nada: aislar un equipo de la red o bloquear una cuenta. Eliminar la causa viene después.
Si borras primero, pierdes la pista de cómo entró el atacante y puede volver por la misma puerta. Si restauras antes de eliminar la causa, el problema vuelve.
Ejemplo: el taller, paso a paso
| Hora | Acción | Fase |
|---|---|---|
| 10:20 | Confirmar que el mensaje es real y no una broma | Detectar |
| 10:42 | Aislar el ordenador de la red | Contener |
| 11:30 | Quitar el programa y cambiar las contraseñas | Eliminar |
| 14:00 | Restaurar los archivos desde la copia | Recuperar |
| Al día siguiente | Pasar las copias a un disco desconectado | Aprender |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Anota todo en un diario del incidente
Con prisa la memoria falla. Anota cada acción con su hora, quién la hizo y por qué. Ese diario sirve para repasar el incidente y, si hace falta, para explicarlo a otras personas.
Los dos primeros comandos de abajo crean un diario de una línea y lo muestran. El tercero ordena fases por número. Ninguno toca los registros del laboratorio.
Apunta una acción en el diario
echo "10:42 contención: portátil de contabilidad aislado de la red" > incidente.txtSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Lee el diario
cat incidente.txtSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Ordena las fases por su número
printf '3 recuperar\n1 contener\n2 eliminar\n' | sort -n | cut -d' ' -f2Se muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Un error frecuente
Advertencia
Mucha gente cree que lo más seguro es formatear el equipo en cuanto algo falla. Así borras las pistas, no sabes cómo entró el atacante y puede volver. Primero contén y anota. Después busca la causa, elimínala y restaura.
Para ir más lejos
Escribe un plan de una página para una asociación con diez ordenadores. Que diga a quién se avisa primero, quién puede desconectar un equipo de la red y dónde se guardan las copias. Pide a alguien que lo lea y diga qué paso no entiende.