Subcategorías de Detect y Respond leídas con ejemplos

Detect agrupa lo que ocurre mientras todavía se está averiguando si algo es un incidente: analizar eventos, correlacionar fuentes, estimar el alcance, entregar la información al personal autorizado y declarar el incidente cuando se cumplen los criterios definidos (DE.AE-08). Respond empieza cuando el incidente está declarado: se ejecuta el plan, se evalúan los reportes, se clasifican, se escalan, se contienen y se erradican.

La línea no es una hora ni una herramienta: es una decisión, que debe poder tomarse con criterios escritos y no por intuición.

Abre la estación. subcategorias.csv trae quince subcategorías con un resumen en español (una paráfrasis hecha para este laboratorio, no la traducción oficial) y registro-del-turno.txt ocho entradas. Mira la entrada de las 09:44: ¿qué resultado describe? Fíjate en lo que hace el analista, no en la herramienta.

A las 10:22 el jefe de TI sube el caso a la gerente porque rebasa su autoridad. La Rev 3 distingue dos palabras que se confunden: escalar suele significar aumentar recursos o plazos; elevar indica involucrar a un nivel superior de dirección. El resultado del marco las agrupa: «los incidentes se escalan o se elevan según haga falta».

Cuando una subcategoría se vuelve un hecho con hora, se puede medir. Calcula cuántos minutos pasaron en el turno de Nereo entre que se declaró el incidente y se contuvo, es decir, entre las dos entradas que cierran Detect y abren la contención.

Entre las recomendaciones de la Rev 3 sobre RS.MA hay una que no tiene respuesta única: elegir la estrategia de respuesta equilibrando la necesidad de recuperarse rápido con la de observar al atacante o investigar más a fondo. Cada decisión tiene un costo: la estrategia que permite observar puede chocar con volver a operar cuanto antes.