Cortar el acceso, no solo el equipo

Cuando un atacante roba una credencial válida, su acceso deja de depender del equipo por donde entró. La cuenta svc-finanzas que se vio en mol-ws-arojas también sirve para entrar al servidor de ficheros, a la VPN y a cualquier recurso que esa cuenta pueda tocar. Aislar mol-ws-arojas corta una vía, pero no la credencial: el atacante abre una sesión nueva desde la VPN y sigue dentro. Contener la máquina no contiene la cuenta.

La pregunta correcta en esta fase no es solo «¿qué equipo aíslo?», sino «¿qué tiene el atacante que le deja volver?», y la respuesta suele ser una credencial que funciona desde cualquier parte.

Contener una credencial comprometida tiene tres movimientos que van juntos: deshabilitar la cuenta para que no pueda iniciar sesión, revocar las sesiones y tokens que ya estén abiertos (deshabilitar no cierra lo que ya está dentro), y rotar la credencial —cambiar la contraseña o la clave— por si se reutiliza en otro sitio. Hacer solo uno deja un hueco: si deshabilitas pero no revocas, la sesión viva del atacante sigue trabajando; si rotas pero no revocas, el token antiguo puede seguir valiendo un rato.

El acceso por credencial se corta en el sistema que la gobierna —el directorio, el proveedor de identidad—, no desenchufando un equipo. Es otra capa de contención, con sus propios pasos.

Aislar la máquina y cortar la credencial no son alternativas: son dos capas que se hacen las dos. Aislar el equipo conserva la evidencia viva en memoria para adquirirla; cortar la cuenta cierra la puerta que el equipo aislado deja abierta. Quedarse solo con una es dejar el incidente a medio contener: con la máquina aislada pero la cuenta activa, el atacante trabaja desde otro equipo; con la cuenta cortada pero la máquina apagada para «asegurar», perdiste la memoria. La contención completa es el equipo quieto y aislado, y la credencial desactivada en el directorio.

Pensar la contención como una sola acción —«ya aislé la máquina»— es el error que deja la segunda puerta abierta. Son capas, y se cubren todas.

Abre el laboratorio de los accesos de Molino Textil. Verás que la cuenta svc-finanzas se usó desde varias máquinas, incluida la VPN, pese a que el puesto inicial ya estaba aislado. En la hoja de acciones, la que cierra lo que el equipo aislado deja abierto —deshabilitar la cuenta, revocar sus sesiones y rotar su credencial— lleva anotado el código de la sala.