Contener sin destruir y qué preservar

Cuando algo sigue cifrando, la presión es parar todo desenchufando. Pero apagar y aislar no son lo mismo. Aislar de la red, desactivando el puerto del conmutador o cortando el acceso del equipo, frena la propagación a otros equipos y la salida de datos, y deja el equipo encendido con su memoria intacta. Apagar de golpe lo detiene, pero pierde de una vez los procesos, las conexiones abiertas y todo lo que solo vivía en la memoria, que puede incluir material que ayude a entender el caso.

Hay que decir también lo incómodo: aislar de la red no detiene un cifrado que ya corre en el propio equipo contra su disco local. Por eso la memoria se captura cuanto antes, y apagar es una decisión que se toma después, con el equipo ya preservado, no la primera reacción. Los equipos que no aportan nada, como un puesto sin cambios, pueden apagarse sin pérdida.

Cada acción de contención se anota con su hora, quién la hizo y su efecto, y se mide por lo que dejó: algunas frenan el daño y conservan la prueba; otras la pierden. Revisar lo que ya se hizo antes de seguir es parte del trabajo, porque en las primeras horas las decisiones las toma quien está presente, no quien sabe del tema.

Una acción destruye evidencia cuando su efecto es una pérdida que no se puede deshacer: no se recupera la memoria de un equipo que se apagó. Una que no la destruye, aunque sea imperfecta, se puede corregir después.

Abre acciones_tomadas y lee la columna de efectos.

Contener bien es elegir bien el equipo. Se aísla lo que sigue activo y conectado: un equipo ya aislado no necesita nada más, y uno apagado ya no aporta memoria ni propaga nada. En una lista de equipos con su estado, el que hay que mirar primero es el que sigue cambiando archivos y sigue en la red, porque es el único que está haciendo daño en este momento y todavía se puede capturar.

Esta decisión se toma leyendo el estado actual de cada equipo, no la lista de lo que se hizo antes ni el orden en que suenan las alertas.

Abre equipos.

Con el equipo aislado y encendido, lo que se captura primero es lo que se pierde primero. La memoria se pierde al apagar; los registros que se sobrescriben cada pocos días se pierden con el tiempo; el disco permanece. El orden de la preservación sigue esa volatilidad, y cada copia lleva su hash desde el momento en que se hace, para que después se pueda demostrar que no cambió.

Se trabaja siempre sobre copias, nunca sobre el original. Lo inevitable que se toque en el equipo se anota, porque documentar lo que se alteró es parte de la integridad de la evidencia.

La memoria no es lo único que desaparece: los registros también tienen su propia volatilidad. Cada fuente guarda un tiempo y luego sobrescribe con lo nuevo; mientras el incidente se atiende, el historial del fin de semana, que es justo el que importa, se va borrando. Exportar los registros con su hash antes de que se sobrescriban es una preservación como cualquier otra, y el orden lo da cuánto tiempo conserva cada fuente.

Compara la retención de las fuentes con cuidado, porque las unidades cambian de una a otra.

Abre fuentes_de_registro.