Respuesta a incidentes
Preservación de rastros durante la contención y la recuperación.
- DURANTE EL INCIDENTE
- 01EL PROBLEMAUn incidente en el que la prisa por restaurar puede borrar lo que será necesario para investigar los hechos.
- 02PARA QUIÉNOrganizaciones en incidente, sus equipos legales y equipos de respuesta.
- 03RESULTADO BUSCADORecuperación que preserva lo necesario para la investigación, con decisiones registradas.
PARA QUIEN DECIDE
Qué cambia para quien decide.
- PARA EL EQUIPO DESeguridadContener sin borrar“La prisa por restaurar puede destruir lo que hará falta para entender lo que ocurrió.”Qué preservar se decide antes de actuar, y la recolección avanza junto con la contención.
- PARA EL ÁREAJurídicaHechos para decidir“Las decisiones sobre clientes, autoridad y contratos necesitan hechos, no suposiciones.”Una línea de tiempo sustentada en evidencia, con lo que se sabe y lo que todavía es hipótesis.
- PARA ELCumplimientoInvestigar sin contaminar“Una investigación mal conducida compromete la prueba y expone a la organización.”Recolección proporcional y documentación de cada etapa, con cadena de custodia.
- PARA LAAseguradoraAlcance y vector“Sin evidencia, no se sabe cómo empezó el incidente ni hasta dónde llegó.”Línea de tiempo, vector y alcance sustentados en evidencia.
VISIBILIDAD
Avance visible, prueba protegida.
Según el caso, el contratante sigue en el portal de forense.io el estado, las etapas, las fechas y lo que depende de él. El portal no muestra evidencias, hallazgos ni conclusiones preliminares: es transparencia sobre el avance, sin exponer la prueba.
CASOS ANONIMIZADOS
Cómo sucede esto en la práctica.
- Ataque en plena operación
- SITUACIÓN
- Una cadena minorista con varias sucursales sufrió un ataque de denegación de servicio seguido de ransomware en un sábado de alta demanda.
- ACTUACIÓN
- Con el comando de crisis coordinado por n.cirt, la actuación forense preservó rastros durante la contención y relevó indicadores de compromiso.
- RESULTADO
- Indicadores y línea de tiempo disponibles para las decisiones de recuperación, sin perder lo que haría falta para la investigación.
DIFERENCIALES
Por qué forense.io
- 01Preservar antes de restaurarLo que hay que resguardar se decide antes de cualquier acción que altere el entorno.
- 02Junto con la contenciónLa recolección se coordina con n.cirt o con los equipos del cliente y terceros, sin retrasar la recuperación más de lo necesario.
- 03Hechos, hipótesis y limitacionesEl informe separa lo observado, lo que es hipótesis y lo que no se pudo verificar.
- 04Revisión técnica independienteTodo informe pasa por una revisión técnica independiente antes de la entrega.
- 05Cadena de custodiaCada evidencia con registro, integridad verificada y quién la manipuló.
CÓMO FUNCIONA
Etapas del trabajo.
- 01Definición de qué preservar antes de actuar
- 02Recolección coordinada con la contención
- 03Análisis y línea de tiempo
- 04Informe de hechos, hipótesis y limitaciones
ALCANCE
Qué está incluido.
Incluido3✓Orientación de preservación✓Recolección dentro del alcance✓Informe
Sujeto al contrato2○Disponibilidad de activación○Coordinación técnica de la respuesta (n.cirt)
PERSONAS, HERRAMIENTAS Y TERCEROS
Cómo trabajamos con lo que usted ya tiene.
Actuación coordinada con n.cirt o con los equipos del cliente y terceros.
- 01Su equipoContiene y recupera el entorno; forense.io indica qué preservar y recolecta en conjunto.contención y recuperación
- 02Su área legalDefine la finalidad de la investigación y recibe los hechos para decidir.finalidad y decisión
- 03TercerosLos proveedores y n.cirt, cuando se lo activa, trabajan sobre la misma línea de tiempo.coordinación
| Actividad | forense.io | Su equipo | Terceros |
|---|---|---|---|
| Definir qué preservar | ejecuta | aprueba | — |
| Contención y recuperación | apoya | ejecuta | apoya |
| Recolección y preservación | ejecuta | apoya | apoya |
| Análisis y línea de tiempo | ejecuta | — | — |
| Decisiones sobre el caso | apoya | ejecuta | — |
CÓMO CONTRATAR
Dos modelos, según el contrato.
- MODELO 01PreservaciónRecolección y preservación con verificación de integridad e informe de preservación. El material se entrega al contratante.
- MODELO 02Preservación + AnálisisEl flujo completo, con análisis, línea de tiempo e informe técnico. El paso de una modalidad a la otra se formaliza mediante una adenda.
PREGUNTAS FRECUENTES
Lo que suelen preguntarnos.
¿Debemos apagar los equipos?
Depende del caso. Antes de apagar, aislar o restaurar, conviene decidir qué hay que preservar; hable con un especialista forense.
¿Ustedes hacen la contención?
La coordinación técnica de la respuesta corresponde a n.cirt o a sus equipos. forense.io preserva e investiga, junto con la contención.
¿El informe sirve en un proceso judicial?
El método y la documentación están pensados para eso. Defendible en juicio describe el método; la admisión depende de la autoridad.
¿Podemos empezar solo con la preservación?
Sí. La modalidad Preservación resguarda la prueba ahora; el análisis puede contratarse después, mediante una adenda.
¿Qué pasa con el material después?
Tras la entrega, forense.io conserva una copia durante 30 días, con la autorización del contratante, y luego la elimina con un acta.
¿Quiere saber si Respuesta a incidentes se aplica a su escenario?
- conversación
- diagnóstico
- propuesta