Erradicar: qué significa limpio

Contener limita hasta dónde llega el incidente. Erradicar elimina sus causas y sus restos: lo que el atacante dejó en el sistema para mantenerse (tareas, servicios, cuentas), las credenciales que se usaron y, sobre todo, la causa raíz que permitió entrar, porque si sigue abierta, limpiar solo borra la huella de la primera visita. En el CSF 2.0, erradicar es la subcategoría RS.MI-02, justo al lado de contener, RS.MI-01.

Un caso se puede dar por erradicado cuando cada hallazgo de la lista tiene una acción asociada, esa acción está hecha y alguien distinto de quien la hizo la verificó. Menos que eso es una opinión.

La investigación de nc-fact01 dejó cinco hallazgos. Tres son persistencia: cosas que el atacante dejó para mantenerse. Uno es una credencial en manos ajenas. Y uno es la causa raíz, la puerta por la que entró. Los cinco tienen una acción de erradicación; falta ver cuáles se han hecho. Por ahora, identifica el hallazgo que, si no se trata, hace que todo lo demás sea provisional.

Tres de las cinco acciones figuran como hechas. Pero hecha no es verificada: la tarea y la cuenta se comprobaron con una segunda lectura de los registros, y una acción más no tiene ninguna comprobación anotada. Sin verificación, «retirado» significa solo que alguien dijo que lo retiró, y un servicio que se retiró mal puede seguir ahí.

Para declarar el servidor erradicado hace falta que no quede ninguna acción pendiente ni ninguna hecha sin verificar. Cuenta lo que le falta al plan, mirando solo el estado y la verificación, no los hallazgos.

Cuando se sabe con certeza todo lo que el atacante tocó, se puede limpiar y verificar. Cuando no, la opción segura es reconstruir el servidor desde una imagen de confianza y devolverle solo los datos que se verificaron. Ese es el motivo de fondo: un sistema que ha estado en manos ajenas durante días solo es «limpio» si se puede demostrar, y eso casi nunca se puede demostrar mirando.