Restablecer la confianza tras un compromiso

La secuencia de un plan de reconstrucción es: contener, es decir cortar el acceso del intruso; decidir de qué copia limpia partir; restaurar o reconstruir; cambiar los secretos que el intruso pudo alcanzar; revisar las confianzas hacia otros; y solo entonces reabrir por fases. Restaurar sin haber cortado el acceso es reconstruir con el intruso mirando.

Y el cambio de secretos va después de la restauración, no antes: lo que se cambie sobre un directorio que luego se sustituye por una copia más vieja se pierde.

La primera evidencia es la fecha más antigua de la línea de tiempo que se atribuye al intruso, no la del primer aviso ni la de la última entrada. Las investigaciones llegan a las fechas en desorden: lo último que se encuentra puede ser lo más antiguo. Una entrada que dice «no» es actividad normal y no marca el comienzo.

Lee linea-de-tiempo.txt, descarta lo no atribuido y la contención, y toma la fecha más antigua del resto.

Una copia limpia es de una fecha anterior a la primera evidencia. La copia más reciente casi nunca lo es: es la que ya trae lo que el intruso dejó. Entre las limpias se elige la más reciente, porque cada día de más hacia atrás son cambios legítimos que se pierden y habrá que reponer.

Cruza la fecha de tu respuesta anterior con copias.txt.

Lo que el intruso pudo leer, hay que darlo por conocido: contraseñas de administración, secretos de cuentas de servicio y la clave con la que el directorio firma las pruebas de identidad de todos. Esta última se cambia con cuidado: en muchos directorios guarda también la anterior, por lo que se cambia dos veces, esperando entre ambos cambios a que la replicación termine.

Un secreto cuyo último cambio es anterior a la contención sigue siendo conocido por el intruso. Cuenta, en secretos.txt, los que están en ese caso según el glosario.

Las confianzas son puertas laterales: aceptan cuentas de otros dominios, de otros proveedores de identidad o de terceros. Si una de ellas no se revisa tras el compromiso, el intruso puede entrar por ahí aunque el directorio principal esté limpio, y con una cuenta que el directorio ni siquiera creó.

Cruza el estado y la última columna de confianzas.txt: te interesan las que siguen activas.