Aislar un segmento y su costo

Aislar es separar un equipo o un grupo de equipos del resto de la red. Entre aislar un puerto y cortar todo un segmento hay una diferencia de decenas de equipos afectados, y por tanto de dinero. El criterio es siempre el mismo: el alcance más pequeño que corte la comunicación sospechosa. Se amplía solo cuando lo pequeño no basta, y quien amplía deja constancia de por qué.

Las alertas del sensor hablan de direcciones, y las decisiones se toman sobre equipos. El inventario es el puente: dice qué es cada dirección, en qué segmento está y para qué sirve. Una contención sobre la dirección equivocada deja el problema andando y le corta la red a quien no era.

Lee la alerta y búscala en el inventario.

El costo de una contención se calcula, no se adivina. Cada línea de producción pierde una cifra por hora detenida; si se corta el segmento entero, se suman las tres líneas. Ese total por hora se multiplica por las horas que quedan de turno. La cifra no decide sola, pero convierte «cortar la planta» en un número que la gerencia puede aprobar o rechazar con los ojos abiertos.

Suma las pérdidas por hora de las líneas y multiplica por las horas que quedan del turno.

Aislar a un equipo comprometido tiene dos riesgos: perder la evidencia que guarda en su memoria y dejarlo sin la herramienta con la que se le puede revisar o limpiar. Existe una forma de aislarlo que conserva ambas cosas: moverlo a una red de cuarentena que solo le permite hablar con la consola de antivirus. Esa red debe existir antes del incidente; construirla durante el caso es tarde.

Compara las opciones de la tabla.

Apagar parece la contención más limpia: el equipo deja de hacer daño. Pero es la única opción de la tabla que pierde la memoria, que guarda las conexiones abiertas, los procesos y datos que nunca llegaron al disco, justo lo que más ayuda a entender el caso. Además no se puede deshacer. Se reserva para casos donde seguir encendido causa un daño mayor que lo que se pierde.