Contención que destruye evidencia

Cada acción de contención tiene un efecto doble: frena el daño y, a la vez, cambia el estado del equipo. Algunos cambios se pueden deshacer; otros no. La memoria de un equipo encendido guarda procesos, conexiones abiertas y claves que desaparecen al apagarlo o reiniciarlo, y no hay copia posterior que las traiga de vuelta. Por eso la pregunta que se hace antes de tocar un equipo sospechoso no es solo «¿lo paro?», sino «¿qué pierdo si lo paro así?».

Lo habitual es sacar primero una instantánea con memoria y después aislar, si el equipo es una máquina virtual y la herramienta lo permite. Si no se puede, se decide por escrito qué se sacrifica y quién lo acepta.

El manual de Nocaima lista cinco acciones posibles sobre un servidor. Unas se pueden deshacer: un reinicio se repite, una cuarentena se levanta. Otras, no. Una acción irreversible exige una decisión de más nivel, porque si salió mal ya no hay manera de repetirla.

En la bitácora de nc-web02 el reinicio no figura como «pérdida de evidencia»: figura como una acción de TI para «limpiar el proceso». Para el caso, sin embargo, hay un antes y un después, y la hora importa: todo lo que se sepa de procesos y conexiones abiertas debe venir de lo anterior a esa hora, y lo posterior solo puede decir lo que dejó el disco.

La persona de TI no hizo nada malicioso: no sabía que había un caso abierto ni que el líder de respuesta iba a tomar una instantánea. Culparla no arregla nada, porque la próxima guardia volverá a tener la misma buena voluntad y la misma falta de información. Lo que se corrige es el proceso: el manual dice que toda acción sobre un servidor con un caso abierto requiere el visto bueno del líder, y que ese visto bueno se anota en el caso con su hora.