Contener sin perder evidencia

Hay medidas que cortan la repetición y medidas que cortan la investigación. La primera de la lista debe frenar que otra ejecución baje la versión retirada y dejar intactos los registros, las imágenes y los runners tal como están.

El registro guarda imágenes que nunca se desplegaron, o que ya fueron reemplazadas, y que siguen siendo un riesgo si alguien las usa. Cuenta todas las construidas con la versión afectada según su SBOM, estén donde estén.

El aviso del mantenedor dice qué se retiró y cuál es la última versión sin el cambio. No se fija «la última»: se fija la que el mantenedor declara limpia.

Tres servicios en producción llevan la versión afectada. El criterio de retroceso de la casa ordena por exposición y por el tipo de datos; aplícalo a los tres servicios afectados, sin atajos.

Cerrar el camino de entrada de la versión no cierra el camino de salida. Lee la lista de salida de la red de los runners y busca la regla bajo la que el cortafuegos dejó pasar la conexión al destino externo, la que no debería existir en una cadena de construcción.