Al contratar un servicio SOC, ¿está incluida la respuesta a incidentes o se factura aparte?

Si vuestro antivirus de endpoint permite acciones remotas, definidlo en el contrato como "escenarios de automatización" (playbooks). El analista debería poder aislar la máquina infectada de un clic antes de llamarte de madrugada. Eso no es intervención activa, es contención básica y no debería tener coste extra.

El año pasado sufrimos un ataque y la empresa de SOC nos llamó de noche a decir "hay una actividad de cifrado rara en vuestro servidor" y colgaron. Tuvimos que pedir equipo de respuesta y nos clavaron 18 horas a 4.000 TL la hora. Exigid meter al menos 15-20 horas de respuesta incluidas por contrato.

Montad una matriz RACI ya mismo. Escribid paso a paso a quién se avisa, quién aisla la máquina y quién revisa los backups cuando salte la alerta. Preguntadles "de todos estos pasos, ¿de cuáles os hacéis cargo vosotros?" y adjuntad su respuesta al contrato.

Ojo con las empresas baratas que dicen "nosotros nos encargamos de todo". Si un analista en prácticas con turno de noche apaga el servidor de contabilidad el remedio va a ser peor que la enfermedad. La respuesta activa sin límites bien definidos es muy peligrosa.

a nosotros nos paso algo parecido nos mandaron un mail a las 4 de la mañana diciendo q habia actividad sospechosa. o sea cuando llegamos a las 8 estaba todo el servidor de archivos bloqueado y si solo van a notificar no le veo el sentido a paar ese dinero la verdad.

¿Tenéis un sysadmin de guardia en plantilla que pueda conectarse de noche a apagar servidores o restaurar copias si salta la alarma? Si no lo tenéis, os toca delegar la respuesta sí o sí.

Pero al instalar un EDR, ¿no se supone que el propio sistema pone la máquina en cuarentena automáticamente? ¿Qué diferencia hay entre que lo haga el software o el equipo del SOC a mano?

Resumiendo: Monitorizar y notificar es el servicio básico, la respuesta avanzada se paga aparte. Para no llevaros sustos con la factura, meted el aislamiento inicial en el paquete estándar y cerrad de antemano un bono fijo de horas para el análisis profundo.

Aquí hay una trampa, no puedo dejar de mencionarla. Si decidimos sin medir, siempre acabamos en el mismo punto.

Al tomar decisiones escribe también el peor escenario no solo el mejor. Eso es todo disculpa si me he extendido demasiado.

Os cuento lo que me pasó a mí, a ver si os sirve de ayuda. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Yo seguiría por ese camino.

Hay una cosa a la que hay que prestar atención. La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

Lo dejo como nota, por si sirve.

Resumen breve para nuevos usuarios: Si obtienes tres respuestas distintas sobre un tema la pregunta está mal formulada.

Ánimo.

Lo que voy a preguntar sonará un poco novato, perdonadme. Si decidimos sin medir, siempre acabamos en el mismo punto.

La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada. Espero que le sea útil.

Me han quedado claras las dudas, gracias. Todos los que se apresuran con respuesta a incidentes soc incluida se atascan en el mismo punto.

Lo dejo como nota por si sirve.

tiense razón yo también pasé por lo mismo. la verdad antes de decidir mirad qué datos tenéis en la mano.

toomar notas durante dos semanas da mejores resultados que estimar seis meses.

Separemos los conceptos, se están confundiendo. Si el camino de la notificación es largo la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Comprobado por experiencia.

estoy totalmente de acuerdo. la verdad que la copia de seguridad sea accesible en la misma red y con la misma identidad la connvierte en parte del objetivo.

la seguridad no es absoluta; significa haacer que el ataque no merezca la pena. en fin si tenéis dudas escribid os responderé en la medida de lo posible.

Estoy de acuerdo. Si regañas las falsas alarmas, nadie volverá a reportar.

Una copia de seguridad no probada no es una copia de seguridad. Eso es todo, disculpa si me he extendido demasiado.