Reconstruir confianza tras un compromiso

Un dominio no vuelve a ser confiable porque alguien lo diga. Se declara recuperado cuando se cumplen controles concretos y se verifican: cuentas privilegiadas renovadas, secretos restablecidos, membresías y directivas revisadas contra una referencia anterior al incidente, y un período de monitoreo reforzado sin hallazgos nuevos. Un control «pendiente» no es «casi hecho»: mientras esté abierto, la conclusión honesta es que el dominio no puede darse por recuperado, aunque funcione.

Abre lista-de-verificacion.csv y cuenta los controles cuyo estado todavía no es «hecho». Es el número que se le dice al comité cuando pregunta «¿ya está?»: no una sensación, sino cuántos controles siguen abiertos.

Una relación de confianza entre dominios es un puente de identidad: los usuarios de un dominio pueden ser reconocidos en el otro. Tiene una contraseña propia que se comparte entre ambos lados. Si el dominio comprometido tenía una confianza, la contraseña de ese puente pudo ser leída en la intrusión, y el otro dominio tiene derecho a saberlo. Restablecerla requiere acuerdo con la otra parte.

Revisa confianzas.csv y busca la relación cuya contraseña no se restableció.

Si se llegara a necesitar volver a una copia del directorio, la pregunta es desde cuál: la más reciente anterior al primer rastro conocido de la intrusión. El primer rastro conocido no es necesariamente el primero real, así que se elige con margen y se verifica; pero tomar una copia posterior al rastro puede reintroducir justo lo que se quiere sacar.

El primer rastro conocido está en lee-primero.txt. Compara con las copias de copias-de-ad.csv.

A veces hay un sistema que no se puede reconstruir a tiempo. No se deja como está ni se finge que está limpio: se aísla lo que se pueda (accesos de red mínimos, sin cuentas privilegiadas que inicien sesión en él), se compensa con monitoreo reforzado y se deja constancia de la decisión, de quién la tomó y de cuándo se revisa. Es una excepción documentada, no un olvido.