Triaje, acotamiento del alcance y contención

Preguntas de triaje

• ¿Cuál es la alerta y es verdadera? Descarta rápido un falso positivo con una segunda fuente de datos.
• ¿Qué está afectado: qué hosts, identidades, cuentas, servicios y datos?
• ¿Cuándo empezó? La primera alerta rara vez es el primer evento; mira hacia atrás.
• ¿Qué tiene ahora el atacante: credenciales, persistencia, un punto de apoyo en la nube?
• ¿Están saliendo datos y la actividad sigue en curso?
• ¿Cuál es el impacto en el negocio y qué severidad implica?

Opciones de contención

• Identidad: restablece credenciales, revoca sesiones y tokens, deshabilita la cuenta o la clave de acceso, exige reautenticación con un segundo factor.
• Endpoint: aísla el host de la red mediante el EDR (sigue encendido y accesible para tus herramientas), en lugar de apagarlo y perder la memoria.
• Red: bloquea direcciones y dominios maliciosos conocidos, restringe el egress, mueve el sistema a un segmento de cuarentena.
• Nube: política deny-all en el rol comprometido, security group de cuarentena en la instancia, snapshot del volumen antes de hacer cambios.
• Aplicación: deshabilita la función vulnerable o desvía el tráfico con una regla de WAF mientras se construye la corrección.

Ejemplo en la nube: contener una clave de acceso filtrada

# 1. evita que la clave funcione (consérvala; no la borres, la necesitas como evidencia)
aws iam update-access-key --user-name build-bot --access-key-id AKIAEXAMPLEKEY --status Inactive

# 2. deniega todo al usuario mientras investigas
aws iam attach-user-policy --user-name build-bot --policy-arn arn:aws:iam::aws:policy/AWSDenyAll

# 3. aísla una instancia sospechosa con un security group que no permite nada
aws ec2 modify-instance-attribute --instance-id i-0abc123 --groups sg-0quarantine

# 4. preserva su disco antes de cualquier limpieza
aws ec2 create-snapshot --volume-id vol-0abc123 --description "INC-2026-0142 evidence" \
  --tag-specifications 'ResourceType=snapshot,Tags=[{Key=incident,Value=INC-2026-0142}]'

Errores que evitar

• Borrar o reinstalar antes de tomar evidencia: pierdes la respuesta de cómo entraron.
• Contener solo el host que encontraste: el atacante tiene otros puntos de apoyo, así que acota el alcance primero o contén de forma amplia de una sola vez.
• Restablecer una contraseña pero dejar activas las sesiones, tokens, claves de API y reglas de buzón.
• Alertar al atacante al cambiar cosas poco a poco durante días; coordina la contención en una sola ventana decisiva.
• Olvidar registrar quién hizo qué y cuándo.