Contener sin perder la prueba

En la lista hay acciones que cortan el acceso, acciones que copian y acciones que destruyen: terminar una instancia o eliminar un usuario no se deshace. Los registros viven en la misma cuenta que el atacante controla, tienen retención limitada y la copia de custodia no existe todavía. Hay una secuencia que protege la prueba sin dar tiempo de más al atacante.

Lee el estado de los registros y la lista de acciones antes de decidir el orden.

Desactivar una clave corta lo que venga después, no lo que ya está abierto. El atacante pidió credenciales temporales con la identidad nueva y esas credenciales siguen valiendo hasta que caducan, aunque la clave que las pidió ya no exista. Es la misma lección de cortar el acceso, no solo el equipo: se revoca lo vivo además de lo que genera lo vivo.

Compara el listado de sesiones con la hora de la consulta y quita lo que no es del atacante o ya caducó.

Una instancia lanzada por el atacante es evidencia: lo que corrió, lo que guardó y a dónde se conectó. Terminarla borra su disco efímero, así que antes de apagarla se toma la instantánea, igual que no se destruye una instancia comprometida sin copiarla. Pero antes hay que saber cuál es, porque en la cuenta hay otras que son de la empresa y que tampoco conviene tocar.

El inventario dice quién lanzó cada una. Identifica la del atacante y no la confundas con las de ids parecidos.

Eliminar un usuario es lo más rápido y lo que más tienta, pero un usuario eliminado deja de ser prueba: su configuración, sus permisos y su historial desaparecen de la consola. Dejarlo activo para observar al atacante tampoco es una opción: cada minuto vivo son más lecturas.

El término medio es un conjunto de pasos: se desactiva lo que sirve para entrar, se quita lo que permite actuar y se guarda lo que explica.