Respuesta ante Incidentes Colombia | TI Rescue 24/7

Indicadores: cifrado masivo, exfiltración, cuentas admin anómalas, caída de AD/ERP, alertas EDR.

• Qué entregables se generan (lo que auditores y gerencia piden) • Informe ejecutivo (impacto, causa probable, estado). • Informe técnico (timeline, IoCs, hosts afectados, cuentas comprometidas). • Evidencia y cadena de custodia. • Plan de remediación priorizado (72h / 30d / 90d).

• Aislar AD/hipervisores, cortar propagación, preservar evidencia, evaluar exfiltración, validar backups (no restaurar “a ciegas”).

• Retención, SIEM, export de logs, hashing de evidencia, evaluación de exposición.

• Matriz de criticidad, dependencias (AD/DNS/ERP), pruebas de restore, runbooks.

Diagnóstico de Rescate (30–45 min): revisión rápida de alcance, RTO/RPO, estado de EDR/logs/backups y plan de contención inmediato.

• Detección: señal inicial (EDR, SIEM, usuario, caída). • Acción Técnica: pasos exactos (aislamiento, bloqueo, adquisición forense, restore controlado). • Resultado Medible: RTO logrado, sistemas recuperados, % endpoints limpios, pérdida evitada. • Prevención: controles NIST/ISO 27001, EDR, MFA, segmentación, backups inmutables, tabletop.

Ejemplo listo (genérico, publicable)

• Detección: cifrado en servidor de archivos + alertas de comportamiento en EDR. • Acción Técnica:

• Aislamiento de segmentos afectados (VLAN/ACL) y bloqueo de credenciales sospechosas. • Preservación de evidencia: export de logs (AD, firewall, EDR), imagen de 2 hosts clave. • Erradicación: eliminación de persistencias, cierre de RDP expuesto, rotación de credenciales privilegiadas. • Recuperación: restauración desde backup verificado (prueba de integridad), prioridad AD/DNS → ERP → archivos.

• Resultado Medible: RTO 6 horas para ERP; 0 reinfecciones tras 72h de monitoreo reforzado; 100% endpoints revalidados por EDR. • Prevención: MFA obligatorio, segmentación este-oeste, backups inmutables, hardening de AD, playbook IR alineado a NIST.

• ¿Cuánto tarda contener un ransomware?

Depende del alcance, pero la contención inicial suele ser en minutos-horas si hay EDR y segmentación. Sin telemetría, el tiempo se dispara por falta de visibilidad.

• ¿Qué no se debe hacer en un incidente?

Reiniciar servidores “para ver si vuelve”, restaurar backups sin validar, borrar logs, cambiar todo sin preservar evidencia, y mantener sesiones activas de admins.

• ¿Qué es RTO y RPO y por qué importan?

RTO: tiempo máximo tolerable de caída. RPO: pérdida máxima tolerable de datos. Se definen por sistema (ERP ≠ correo ≠ archivos).

• ¿EDR o antivirus?

Antivirus tradicional no basta. EDR/XDR aporta detección por comportamiento, hunting y contención remota.

• ¿Cuándo se requiere forense digital?

Cuando hay sospecha de exfiltración, fraude interno, persistencia, o se necesita evidencia para aseguradora/área legal.

Identificamos vulnerabilidades reales en tus sistemas y entregamos un plan claro de mitigación.

Suscríbete a Nuestro Blog: Mantente actualizado con las últimas noticias y consejos en ciberseguridad. Suscríbete ahora.