Decidir aislar y avisar

Con un servidor cifrándose, el reflejo es apagarlo. Apagar detiene el cifrado, pero también borra la memoria, donde pueden quedar procesos, conexiones y datos de la operación, y puede dejar el sistema en un estado del que cuesta más volver. Aislarlo de la red desde el EDR corta lo que el atacante podía hacer desde fuera y hacia fuera, y conserva el equipo encendido para quien tenga que examinarlo.

Esto no es una regla universal: si el cifrado avanza y no hay forma de aislar, apagar es una decisión válida y se anota. Pero la matriz de decisión debería decir cuál se prefiere y quién puede cambiar de opinión.

Una matriz de decisión responde antes del incidente a la pregunta que más tiempo roba durante él: ¿quién decide esto? Cada fila relaciona una acción con un rol, un aviso y un tiempo máximo. Para aislar un servidor de producción no decide el turno, sino la líder de respuesta; y el rol se ocupa por una persona con nombre y teléfono.

Consulta SELECT * FROM matriz_de_decision WHERE decide = 'líder de respuesta' y después SELECT * FROM contactos WHERE rol = 'líder de respuesta'.

Entre la alerta y la acción hay tres partes: confirmar, conseguir la autorización y ejecutar. La segunda es la que más varía. Aquí la primera llamada a la líder no se contestó y la segunda sí, y la matriz fijaba 10 minutos como límite para aislar un servidor de producción. Medir el tiempo de cada parte no sirve para buscar un culpable: sirve para saber cuál acortar.

Consulta SELECT * FROM decisiones y mide los minutos entre la alerta crítica y el momento en que afu-erp01 queda aislado.

Hay acciones que ni el turno ni la líder pueden tomar, porque cuestan dinero o servicio a toda la empresa: cortar el enlace de internet de la sede, por ejemplo. En la matriz tienen otro dueño y un tiempo mayor, y lo que el SOC hace es preparar la decisión: hechos, opciones, qué se pierde con cada una y cuánto tiempo hay.

Revisa de nuevo SELECT * FROM matriz_de_decision y mira la fila del enlace de internet.

A las 03:10 se avisó al jefe de TI y a la gerencia. El primer aviso tiene un trabajo simple: que quien lo lee sepa qué hacer en los próximos diez minutos. Dice qué se sabe, qué no se sabe, qué se hizo, qué se decide ahora y cuándo habrá otra noticia. No dice cómo empezó, ni quién fue, ni promete una hora de recuperación.