El proveedor de hosting dijo «te han hackeado» — ¿cuáles son los pasos de respuesta a incidentes en la primera hora?

Haz que tu programador quite las manos del teclado. El enfoque de "vamos a limpiar los archivos sospechosos" es un reflejo de novato que destruye por completo las pruebas forenses. Cualquier limpieza que hagas sin averiguar dónde dejó la puerta trasera el atacante no es más que una falsa sensación de seguridad.

Desconecta la red de forma virtual desde el panel, pero deja la máquina encendida. Exporta a un destino externo el estado de los sockets de red, el árbol de procesos en ejecución y los descriptores de archivos abiertos mediante la consola. Los procesos del atacante que corren en memoria se perderán si la máquina se reinicia.

Restablece de inmediato todas las contraseñas de servicios externos, claves de base de datos y llaves de acceso al servidor desde un dispositivo seguro. Pero hazlo desde un ordenador completamente independiente, no desde el propio servidor afectado.

El año pasado recibimos una alerta similar y por puro pánico formateamos la máquina y restauramos copia. Al no encontrar el punto de entrada, a los dos días nos encontramos con una nota de rescate de 45.000 SAR y tuvimos que gastar 60.000 SAR extra en análisis forense. No actuéis sin evidencias.

Que la empresa de hosting te diga "te han hackeado" no siempre significa que haya un atacante dentro. A veces, un servicio DNS mal configurado en el servidor o una cola SMTP expuesta también activan estas alarmas. Desconecta la red, pero no des el sistema por culpable de inmediato.

El orden de los primeros 60 minutos es este: 1) Corta el acceso a internet del servidor. 2) Haz un volcado de RAM y un snapshot del disco. 3) Cambia las contraseñas de administración desde un dispositivo independiente. 4) Pide por escrito a la empresa de hosting los registros de tráfico anormal. 5) Informa oficialmente a la dirección de la empresa y al asesor legal.

En caso de incidente cibernético, las obligaciones legales se activan simultáneamente con las intervenciones técnicas. Dado que ante la sospecha de una violación de datos personales pueden surgir obligaciones de notificación a los organismos reguladores nacionales correspondientes y a los usuarios afectados, es fundamental que los pasos técnicos se lleven a cabo documentándolos bajo acta.

mucho ánimo, me imagino la tensión que habrá en la oficina en momentos así. mantened la calma y dejad de culparos unos a otros... lo importante no es levantar el sistema a la prisa, sino entender el origen del ataque y cerrarlo de forma permanente.

hay algo que no entiendo. pues si es la primera vez que lo hacéis, emmpezad poco a poco, la escala llegará después.

si escribís el resultado aquí, también servirá de ayuda a otros.

¿Y cómo resolvieron esto? Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Lo dejo como nota, por si sirve.

Soy una pequeña empresa, os lo cuento desde mi lado. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Comprobado por experiencia.

Tienes razón, yo también pasé por lo mismo. Si intentas cambiarlo todo a la vez, nada termina de asentarse.

Si vas por ahí, resuelve esto desde el principio. El error cometido por pasos de respuesta a incidentes suele ser reversible, pero caro.

Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde. Espero que le sea útil.

Me pasó lo mismo. Todos los que se apresuran con pasos de respuesta a incidentes se atascan en el mismo punto.

Corrijanme si me equivoco.

a nosotros nos pasó esto. al tomar decisiones escribe también el peor escenario no solo el mejor.

Estoy de acuerdo. Si regañas las falsas alarmas, nadie volverá a reportar.

Ánimo.

El punto que más se pasa por alto sobre pasos de respuesta a incidentes es este: Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Si intentas cambiarlo todo a la vez, nada termina de asentarse. Comprobado por experiencia.