Aislar, cuándo y qué se pierde

En una consola de EDR, aislar un equipo corta su tráfico de red salvo el canal con la propia consola, que se deja abierto para poder seguir actuando sobre él. No apaga el equipo ni borra nada: los procesos en ejecución y la memoria quedan donde estaban, que es justo lo que el análisis necesita conservar. Y suele sobrevivir a un reinicio hasta que alguien con permiso lo libere.

Eso lo distingue de apagar o desenchufar: apagar es más drástico y destruye lo que solo vive en memoria.

Un equipo aislado sigue hablando con la consola; de lo contrario no se podría liberar ni recopilar nada. Ese canal tiene un puerto concreto, que la política de la organización documenta. Abre la estación y lee politica-de-aislamiento.txt.

La política enumera lo que deja de funcionar: sesiones remotas, carpetas de red, correo, impresión, VPN. Pero lo que le importa a quien decide no es la lista, sino cuántas personas y qué servicios dejan de trabajar. Eso está en dependencias.csv: cada servicio con sus usuarios conectados.

Se aísla en función de la evidencia y del costo, no de la preocupación general. Un puesto con ejecución confirmada y una conexión saliente viva se aísla pronto: cuesta una persona. Un servidor del que dependen decenas de usuarios, con una alerta de confianza baja que el responsable aún no ha aclarado, pide una pregunta antes que un corte. Y un equipo cuya alerta se cerró como falso positivo no se toca.

Lee candidatos.txt.