Limpiar o reconstruir: criterios y riesgos

La guía SP 800-83 llama reconstruir a reinstalar y asegurar el sistema y las aplicaciones (o volver a una imagen buena conocida) y después restaurar los datos desde respaldos buenos conocidos. Lo recomienda cuando no se sabe qué se hizo en el equipo: si hubo varias infecciones, si la infección duró un tiempo largo o desconocido, o si se instalaron puertas traseras u otras herramientas del actor. En esos casos, además de la muestra, pudo pasar cualquier cosa.

La guía añade un argumento de eficiencia: a veces reconstruir es más rápido que analizar todo lo que hizo la muestra para deshacerlo, sobre todo donde los equipos se instalan desde imágenes estándar. Y lista unos criterios concretos que obligan a reconstruir. Cordobán los convirtió en su política; están en el laboratorio.

Abre el laboratorio. SELECT * FROM criterios trae la política: cinco criterios, y basta con uno para reconstruir. SELECT * FROM equipos_afectados trae los cinco equipos con una columna por criterio.

Aplica la política fila por fila. Ojo con la columna de inestabilidad: «sin probar» significa que todavía no se intentó limpiar, no que el equipo falle.

Limpiar sigue siendo una opción legítima: si un equipo no cumple ninguno de los criterios, la guía dice que normalmente basta con quitar la muestra. Reconstruir todo «por si acaso» cuesta horas de trabajo y de inactividad que la empresa necesita para otros equipos.

En este caso, el equipo que se limpia además ya pasó por una limpieza de prueba sobre una copia.

Reconstruir el servidor de archivos implica restaurar sus datos, y ahí aparece un riesgo que la propia guía señala: un respaldo puede contener la muestra. Restaurar una copia tomada después de la infección devuelve el problema al equipo recién reinstalado. La SP 800-61 Rev. 3 lo pone como paso de la recuperación: comprobar la integridad de los respaldos antes de usarlos.

El análisis aporta la fecha clave: la primera huella de la muestra o del actor en ese servidor. SELECT * FROM primeras_huellas la trae; SELECT * FROM respaldos trae las copias con su fecha y si se revisaron con los indicadores.

Según la guía, la erradicación no termina al quitar la muestra: incluye eliminar o mitigar la debilidad que permitió la infección. Un equipo reinstalado desde una imagen limpia vuelve a caer si la vía de entrada sigue abierta, y entonces el trabajo de reconstruirlo se pierde.