Plan de contención desde la alerta

Contener es cortar el avance sin destruir la evidencia ni empeorar el daño. Lo que se hace primero es lo que corta lo que el atacante usa: sus cuentas, su salida a internet y su acceso remoto, que se pueden revertir. Después se aísla de la red lo que aún no está cifrado, con quien tenga autoridad, y se protegen las copias. Reiniciar o reinstalar equipos viene al final, porque borra la memoria y las huellas que se necesitan para entender qué pasó.

Aislar un servidor de producción detiene también el trabajo de la empresa. Por eso la decisión no es del analista de guardia sino de quien responde por ese sistema. En la tabla activos, la última columna dice quién autoriza el aislamiento de cada equipo; el plan debe tener a esa persona localizable antes de la alerta.

El plan estima cada acción en minutos. Sumar las de prioridad 1 dice cuánto tarda en estar cortado lo que el atacante usa, si se hacen una tras otra. Es el tiempo contra el que se compara el margen que dejaron las señales.

Un cifrado masivo ataca primero lo que permite recuperarse. Una copia sirve si las cuentas que el atacante ya tiene no llegan a ella, y mejor aún si es inmutable, es decir, no se puede modificar ni borrar durante su retención. La tabla copias dice cuáles son alcanzables con las cuentas vistas en el caso.

A las 00:44 el cifrado todavía no empezó, pero el atacante ya está dentro y ya detuvo la protección. La prisa empuja a medidas que sirven poco: reiniciar equipos, borrar cuentas o apagar todo. Cada una pierde evidencia o corta trabajo sin necesidad. Lo sostenible es contener por prioridad, con la autorización que corresponda, y dejar constancia de cada paso con su hora.