La alerta del martes

Una cola de alertas mezcla lo que importa con lo que no. Las alertas de un mismo incidente no siempre llegan con la misma severidad ni en el orden en que se leen: la que dispara la alarma alta suele ser la tercera o la cuarta de la cadena. Para medir cuánto estuvo el incidente sin que nadie lo viera hay que encontrar la primera, no la más grave.

Lo que une las alertas de un encadenamiento es el equipo y, sobre todo, el proceso. Un nombre parecido en otro equipo es otra historia.

El plan de respuesta ya dice qué se puede hacer sin permiso y qué no. Aislar y apagar no son lo mismo: lo primero corta la red y conserva lo que está en memoria; lo segundo borra lo volátil y es irreversible. Es el mismo orden de volatilidad de siempre: lo que se pierde primero se guarda primero.

Lee el plan antes de decidir. Una decisión que contradice el plan hay que justificarla; una que lo sigue, solo registrarla.

El tiempo hasta la contención se mide desde que el incidente deja el primer rastro, no desde que alguien abre el caso. Es una de las cifras que más pesan en un informe: cada minuto con el equipo conectado es un minuto en el que el atacante puede moverse.

Toma el momento en que la cadena dejó la primera alerta y el momento del aislamiento, los dos en UTC. Cuenta solo los minutos completos.

Una matriz de severidad no se aplica por el nombre de la alerta, sino por lo que el equipo puede alcanzar. Un mismo programa sin firma pesa distinto en una máquina aislada de la red que en una que guarda credenciales de servicio o tiene acceso a servidores.

Mira qué guarda y a qué llega el equipo en el inventario, y aplica la matriz a lo que el turno sabía a esa hora. Todavía no se había confirmado ninguna salida de datos.