Plan de contingencia ante quema de infraestructura

Cuando el equipo defensivo identifica el dominio o la IP de un redirigidor interactivo, aplicará un bloqueo perimetral en sus proxies corporativos y cortafuegos.

El operador no debe intentar reconectar repetidamente contra el nodo quemado, ya que esto acumularía telemetría forense en los sensores del SOC. El protocolo establece dar de baja el servidor proxy mediante herramientas de infraestructura como código (Terraform o Ansible) y activar un nodo de relevo preparado con anterioridad.

Abre politica_cortafuegos_c2.txt en la consola del laboratorio con el entorno rt-c2-arquitectura-guia.

Revisa la Regla 3. Para evitar que un proceso comprometido en el backend realice conexiones inesperadas que expongan la IP del servidor ante detectores externos o trampas de tipo honeypot, las comunicaciones salientes se restringen al mínimo indispensable.

Si los analistas forenses del cliente aíslan un host y recuperan una muestra del artefacto desplegado, analizarán las firmas criptográficas, los hashes de certificados y cualquier identificador de conexión.

El plan de contingencia exige que el nuevo redirigidor se levante con un certificado TLS fresco emitido para un nombre de dominio independiente, impidiendo que las reglas de bloqueo por IOC afecten a la nueva infraestructura.