Sala 5 · respuesta y comunicación de un incidente

Tras una fusión, la misma dirección real puede existir en las dos empresas, y el cortafuegos de borde las distingue traduciéndolas a direcciones distintas, que a veces se reasignan con el tiempo. Para saber quién fue hay que cruzar la dirección y la hora de la alerta con la tabla de traducciones, y la dirección real y la empresa con el inventario.

Se contiene con el alcance más pequeño que corte la comunicación sospechosa sin perder lo que la investigación necesita. Entre las opciones que aíslan al equipo, conservan su memoria y le dejan salida a la consola de antivirus, se elige la que afecta a menos equipos. Su costo es el de la pérdida por hora multiplicada por las horas que quedan del turno.

Cada fuente de evidencia conserva un número de horas de historia. Si desde la hora de la detección han pasado más horas que su retención, la fuente ya sobrescribió ese momento y no sirve para reconstruirlo. Si la retención es mayor que las horas transcurridas, todavía lo conserva. El tiempo transcurrido se cuenta hasta la revisión del caso, y las dos horas hay que ponerlas en la misma zona.

Las fuentes escriben la hora de maneras distintas: unas en UTC, otras en hora local con o sin desfase y otras en segundos desde el 1 de enero de 1970 en UTC. Para ordenar los hechos hay que llevar todo a UTC; comparar relojes sin convertir pone en primer lugar el evento que se escribió con un número más pequeño, no el que ocurrió antes. La hora local del grupo es UTC-05:00.

Comunicar un incidente tiene plazos: a cada parte se le avisa dentro de las horas que fija el plan, contadas desde la detección. Un aviso enviado tarde puede costar una cobertura o una relación, aunque el contenido sea correcto. Se compara la hora de envío con la de la detección, ambas en UTC.