Qué equipo primero

Con varios equipos confirmados hay dos preguntas de orden, y tienen respuestas distintas. Para contener se atiende primero lo que más daño puede causar si el atacante sigue ahí: el equipo que guarda lo más valioso, el que tiene credenciales privilegiadas a mano, el que sigue activo. Para investigar se atiende primero lo que más explica: el equipo donde el rastro es más antiguo, porque ahí está el origen y de ahí salen los indicadores nuevos.

Mezclar las dos preguntas es un error frecuente. Se acaba analizando primero el equipo que dio la alerta, que casi nunca es el más antiguo ni el más grave, y la contención espera a que termine el análisis.

Una prioridad que nadie puede explicar no sobrevive a la primera discusión con el dueño del equipo. La rúbrica de la empresa suma puntos por tres factores: la criticidad del equipo (alta 3, media 2, baja 1), una sesión de cuenta privilegiada desde que empezó el incidente (2 puntos: las credenciales de esa cuenta pudieron quedar a la vista del atacante) y actividad del indicador en las últimas 24 horas (1 punto: el atacante sigue ahí).

Las tablas hallazgos, activos y sesiones_privilegiadas tienen los datos y rubrica los pesos. Suma por equipo y ordena. El segundo lugar no es el que parece: un factor que en la lista no destaca mueve a un equipo de rango.

hallazgos
activos
sesiones_privilegiadas
rubrica

Para investigar el criterio es otro: la primera vez que el agente vio el rastro. El equipo del hallazgo inicial no tiene por qué ser el más antiguo; fue el primero que dio alerta. La búsqueda por toda la flota puede mover el origen del incidente a un equipo que nadie miraba, y entonces los indicadores que sirven para la siguiente ronda son los de ese equipo, no los del equipo que se analizó primero.

Ordena hallazgos por la primera vez y lee el extremo anterior. Recuerda que el EDR guarda 30 días: una primera vez dentro de esa ventana es un dato firme, pero una anterior habría quedado fuera de la vista.

hallazgos
| sort by primera_vista asc

El responsable de TI, con razón, quiere cortar ya. Pide aislar los cinco equipos de inmediato. Aislarlos todos a la vez tiene un costo real: el taller deja de recibir los programas de corte, el atacante ve que lo detectaron en los cinco puntos y puede mover lo que tenga pendiente, y se pierde la memoria de los equipos que todavía hay que adquirir. Esperar a terminar el análisis completo antes de aislar ninguno tiene el costo contrario: dejar activo al atacante en equipos con credenciales privilegiadas.

La rúbrica resuelve esa tensión: se contiene primero lo que más puntos suma, con la adquisición hecha antes de cortar donde hace falta, y el resto se programa por turnos con una razón escrita.