La primera hora: contener sin apagar

Contener bien es frenar al atacante dejando intacto lo que necesitas para investigar. Aislar el equipo comprometido de la red corta su avance y conserva las pruebas; rotar la credencial que se reutilizó cierra la puerta que estaba usando. Las dos acciones cortan sin destruir. En Salitre, contener es exactamente eso: aislar el servidor web comprometido y rotar la credencial que llegó a la base de datos, con los registros a salvo.

Cortar el canal y conservar las pruebas no son objetivos opuestos: la contención bien hecha logra las dos a la vez. Esa es la destreza de la primera hora.

La reacción instintiva —formatear el equipo o apagarlo de golpe— corta al atacante y, con él, la investigación. Formatear borra el rastro que dice hasta dónde llegó; apagar de golpe pierde lo que estaba vivo en memoria. Son acciones que se sienten decididas pero destruyen la evidencia que necesitas para saber el alcance real. En Salitre, esas dos salidas rápidas son justo las que la guía marca como error.

La prisa por «quitarlo de en medio» es cara: borras al atacante y también la única copia de lo que hizo. Primero se preserva, luego se limpia.

La primera hora no termina en acciones: termina en registro. Cada paso —qué se aisló, qué credencial se rotó, a qué hora— se anota, porque un incidente dura más de un turno y quien entre después tiene que poder continuar sin repetir ni romper nada. Contener sin dejar nota es resolver a medias: lo que no está escrito se pierde con el cambio de turno. En Salitre, la contención se documenta mientras se hace.

Responder bien es también escribir bien. La nota de lo que hiciste es lo que convierte tu primera hora en algo que el siguiente puede heredar.

La acción que contiene y la que destruye no se intuyen: se leen en la guía de respuesta. Abre el laboratorio, revisa la guía de la primera hora de Salitre y baja hasta el código de sala al pie.