Decisiones de contención

5 tareas · 38 min · Principiante

En las primeras horas de un incidente de ransomware se toman decisiones que no se pueden deshacer: apagar, desconectar, cortar internet, dejar encendido. Los informes públicos las cuentan después, con lo que se observó, y ahí se aprende qué costó cada una. Con los tres casos ficticios del módulo, Vistalegre, Tierrabuena y Mercados del Sur, lees cada decisión con su efecto y haces las cuentas del impacto. No se juzga a nadie desde la comodidad del informe: se aprende qué información faltaba en el momento de decidir. Solo lectura de tablas de ejemplo.

0 de 5 · 0%

Objetivo de la sala

Contener es detener el avance sin destruir lo que se necesitará para entender el incidente. Dos errores opuestos aparecen en los informes: cortar muy poco, y el daño sigue por un camino que no se cerró; o cortar todo de golpe, y el costo operativo y la pérdida de evidencia son enormes.

El criterio que sale de los casos es proporcional: se corta por segmentos lo que se sabe afectado, se amplía el corte si hay duda sobre el alcance, y se anota cada decisión con su hora, su motivo y quién la ordenó. Lo anotado es lo que permite, semanas después, explicar por qué se hizo lo que se hizo.

Responde para continuar

Al inicio de un incidente se sabe poco del alcance. ¿Qué criterio de contención es el más defendible?

Aislar solo el primer equipo donde se vio el cifrado, sin importar lo que se sepa del resto Apagar todos los equipos de inmediato, porque la evidencia que se pierda importa menos que el tiempo que se gane Cortar por segmentos lo que se sabe afectado, ampliar el corte si hay duda y anotar hora, motivo y orden

Una contención incompleta se ve en el efecto observado: el daño continúa por un camino que no se cortó. Cortar el enlace a internet detiene lo que viene de fuera o va hacia fuera, pero no lo que ya está dentro y se mueve por la red interna.

El informe de la alcaldía dice cuál fue el equipo desde el que siguió el cifrado después de cortar internet. Es el nombre de un equipo, tal como aparece en la tabla.

Responde para continuar

¿Qué equipo siguió cifrando por la red interna de la Alcaldía de Tierrabuena después de cortar su enlace a internet? Escribe su nombre.

Ver pista de ayuda

Ejecuta `SELECT * FROM decisiones` y lee el efecto observado de la decisión de cortar el enlace.

Para medir lo que costó una decisión se mide el tiempo que el daño siguió después de tomarla. Es un número comparable entre casos y se calcula con las horas que el propio informe da: la de la decisión y la del final del cifrado.

Se cuenta en minutos, de la hora de la decisión a la hora en que el cifrado terminó.

Responde para continuar

¿Cuántos minutos siguió el cifrado en la Alcaldía de Tierrabuena después de cortar su enlace a internet? Escribe solo el número.

Ver pista de ayuda

Ejecuta `SELECT * FROM decisiones` y resta la hora del corte a la hora en que termina el cifrado, ambas del mismo día.

La contención por segmentos tiene también su costo, pero es un costo que se puede medir y que se escoge. En el informe de Mercados del Sur, aislar cada tienda dejó que las que podían vender siguieran vendiendo con caja manual y que las demás cerraran.

El número de tiendas cerradas no está escrito: se obtiene de dos cifras de la tabla de impacto.

Responde para continuar

¿Cuántas tiendas de Mercados del Sur cerraron mientras duró la contención? Escribe solo el número.

Ver pista de ayuda

Ejecuta `SELECT * FROM impacto` y resta las tiendas que siguieron vendiendo del total del caso C.

La memoria de un equipo guarda lo que ningún disco guarda: procesos en ejecución, conexiones abiertas, claves en uso. Se pierde al apagar. A veces apagar es inevitable, y entonces lo que se hace es dejar constancia.

En el informe de Vistalegre se apagaron servidores sin capturarla, y la consultora lo anotó como una limitación. Lo que ya no se puede recuperar se aprende como lección para la próxima vez.

Responde para continuar

Si apagar un equipo afectado es inevitable, ¿qué lección dejan los informes?

Apagar y reiniciar los equipos afectados, que es la forma más rápida de que vuelvan a funcionar Capturar la memoria antes cuando se pueda, y anotar quién apagó cada equipo y a qué hora Dejar siempre los equipos encendidos hasta terminar el análisis, aunque el cifrado siga avanzando

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Cortar, pero con criterio Lab

2 El camino que no se cerró Lab

3 El costo de la contención incompleta Lab

4 El costo de cortar bien Lab

5 Apagar y la memoria Lab

Whoami-Labs Pro utiliza cookies