Contener sin perder evidencia ni avisar al intruso

La guía SP 800-83 divide la contención en dos objetivos: frenar la propagación y evitar más daño en los equipos ya afectados. Insiste en que lo primero no garantiza lo segundo. Un equipo desconectado puede seguir cifrando o borrando, y hay muestras que reaccionan al corte haciendo daño. Por eso la guía pide no dar por contenido un equipo solo porque se le quitó la red.

Hay además evidencia volátil: la memoria, los procesos en marcha, las conexiones abiertas. Se pierde al apagar o reinstalar el equipo, y a veces la borra la propia muestra. El orden importa: primero se recoge lo que se va a perder y después se actúa. Los EDR suelen ofrecer un aislamiento que corta la red del equipo pero mantiene la conexión con la consola, justamente para poder seguir recogiendo.

Abre el laboratorio. En la carpeta del caso están plan-de-contencion.txt y evidencia-recogida.txt. Cruza los equipos que el plan aísla con lo que ya se recogió de cada uno.

Aislar un equipo cuya memoria no se ha capturado no es un error en sí, porque la consola sigue llegando a él. El error es no saber que esa captura falta y dejar que pase el tiempo.

comportamiento-en-red.txt es un extracto del informe del entorno aislado: dice cada cuánto baliza la muestra y qué hace cuando sus intentos fallan. proxy-ultimas-balizas.txt dice cuándo fue la última baliza que salió bien de cada equipo.

Con esas dos piezas se calcula cuánto margen hay para recoger la evidencia que falta. Este es el tipo de dato que solo el análisis puede dar y que cambia el orden de un plan de contención.

Un intruso que sabe que lo descubrieron cambia de comportamiento: borra rastros, activa otra vía de acceso o acelera lo que estaba haciendo. Por eso la contención se planifica sin delatarse. Un aviso general, un cambio de contraseña aislado o un bloqueo muy visible pueden llegar al intruso por canales que todavía controla.

La SP 800-61 Rev. 3 recuerda algo relacionado: retrasar la contención para observar al intruso es una decisión arriesgada que se consulta antes con el área legal. Aquí no se trata de observarlo, sino de no avisarle mientras se cierran sus puertas. Lee buzon-jvalbuena.txt y vuelve al plan.

Con lo que encontraste, el plan necesita tres cambios: recoger lo que falta antes de que se borre, cerrar el canal por el que el intruso lee el correo y avisar a quien haga falta por otra vía. El cambio de contraseña de la usuaria va después de quitar la regla, no antes, porque la regla seguiría reenviando con la contraseña nueva.