Criterios para contener

La Rev. 2 de la guía del NIST, hoy sustituida por la Rev. 3, enumeraba seis criterios para escoger una estrategia de contención, y siguen siendo una buena lista de comprobación: el daño potencial y el robo de recursos, la necesidad de preservar evidencia, la disponibilidad del servicio, el tiempo y los recursos que cuesta implantarla, su efectividad (parcial o total) y la duración de la solución.

El sexto es el que se olvida. Una contención de emergencia se pone en minutos, y lo que se pone en minutos se queda años si nadie anota hasta cuándo debe durar y quién la retira: el cortafuegos termina lleno de bloqueos huérfanos que nadie se atreve a quitar.

El servidor nc-fact01 abre conexiones a una dirección desconocida. Hay cuatro formas de frenarlo, y ninguna es la correcta en abstracto: cada una gana en un criterio y pierde en otro. Compáralas columna por columna. Lo que se busca es una contención que no destruya la evidencia y a la vez sea total, porque una parcial deja abierta la puerta que se quería cerrar.

Bloquear solo la dirección de destino es rápido, no pierde nada y deja el servicio en marcha, y por eso tienta. Pero es una contención parcial: el proceso sigue dentro del servidor, y cambiar el destino le cuesta una línea de configuración a quien lo controla. Sirve como medida de ganar tiempo mientras se prepara la buena, nunca como el punto final.

Mientras se decide la contención de fondo, el cortafuegos ya tiene reglas puestas por distintos equipos en los últimos días. Unas tienen fecha de retiro y un responsable; otra se puso de emergencia y no dice ni lo uno ni lo otro. Esa es la que dentro de un año nadie sabrá si puede quitar, y por eso se anota ahora.