Nos han hackeado esta mañana: ¿cómo debe ser la respuesta a incidentes paso a paso?

Si formateáis, los registros del firewall, el historial de sesiones y el volcado de memoria desaparecen por completo. Copiad inmediatamente a un USB limpio los registros de seguridad (event logs) del servidor y los registros de acceso web.

Nombrad a un responsable de emergencias en la empresa. Si el de contabilidad va por su lado y el técnico por el suyo, la coordinación se hunde. Registrad todas las acciones en un cuaderno anotando hora, procedimiento y quién lo ha hecho.

Restableced de inmediato las contraseñas de correo y VPN de todos los empleados desde un equipo limpio. Comprobad en el router de la empresa si hay reenvíos de puertos desconocidos o reglas de escritorio remoto activas.

Nosotros en un caso similar pagamos 3.800 EUR a un equipo externo de respuesta a incidentes. En cuatro horas descubrieron que el atacante había dejado programadas dos tareas persistentes (scheduled task) dentro. Si hubiéramos formateado y restaurado copia, a la noche siguiente nos habrían vuelto a pillar.

Las ganas del informático de formatear suelen ser para tapar el fallo o su culpabilidad. Levantar el servidor sin saber por dónde han entrado es lo mismo que dejarle la puerta abierta de par en par al ladrón.

mucho ánimo encontrarse con ese panorama por la mañana es una faena horrible. mantened la calma y no os precipitéis a cargar respaldos sin pensar, no vayáis a sobrescribir la copia buena de ayer.

El orden de prioridad debe ser: 1) Desconectar físicamente el servidor de internet. 2) Hacer copia de memoria e imagen del disco. 3) Dar con la causa raíz y cerrarla. 4) Instalar desde cero en un entorno limpio usando un respaldo seguro.

No apaguéis el servidor, solo quitadle la red y no permitáis que se formatee bajo ningún concepto sin haber sacado antes un clonado forense exacto del disco.

resumen brve para nuevos usuarios: Intentar hacerlo solo es la vía más cara.

Estoy de acuerdo. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Voy a resumir el tema, porque se han dado varias respuestas diferentes. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

También me gustaría saber si alguien lo hace de otra manera.

A nosotros nos pasó esto. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Comprobado por experiencia.

creo que es difícil hablar con tanta claridad sobre respuesta a incidentes de ciberseguridad. el tiempo que tardas en detectar un problema determina directamente su coste.

En su momento nosotros también nos atascamos ahí. en fin tomar notas durante dos semanas da mejores resultados que estimar seis meses.

Si escribís el resultado aquí también servirá de ayuda a otros.

A nosotros también nos pasa.

Lo escribo para que no cometan el mismo error. El tiempo que tardas en detectar un problema determina directamente su coste.

Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde. Lo dejo como nota, por si sirve.

Gracias, me ha servido de mucha ayuda. Si decidimos sin medir, siempre acabamos en el mismo punto.

El tiempo que tardas en detectar un problema determina directamente su coste.

Gracias, esa era la respuesta que buscaba.