Empieza aquí
Tu primer paso útil
Repasa primero la lección gratuita de phishing y usa después el flujo de trabajo del analista de abajo para conectar las evidencias del mensaje con la posible actividad de identidad.
Conserva el reporte original y define la pregunta
Registra cómo se reportó el mensaje, cuándo llegó y qué dice el destinatario que hizo. Conserva el mensaje original mediante el proceso aprobado para que las cabeceras y los identificadores sigan disponibles. Trabaja con una copia segura o con herramientas administrativas de confianza, sin abrir los enlaces del mensaje.
Formula una pregunta precisa: ¿era un mensaje no deseado, alguien visitó el destino o hay evidencias de actividad no autorizada en la cuenta? Son hallazgos distintos. No hagas clic en la URL, no abras adjuntos ni contactes con el supuesto remitente fuera del proceso de investigación aprobado.
Compara las evidencias del remitente y del dominio
Separa el nombre visible, la dirección De visible, la dirección de respuesta y el destino real del enlace. Compara el dominio con la organización esperada usando una referencia de confianza, no un enlace incluido en el mensaje. Ten cuidado con un nombre visible plausible asociado a un dominio registrado distinto.
En un ejemplo sintético, “Help Desk” envía un mensaje desde helpdesk.training.invalid mientras que la organización espera su propio dominio corporativo. La discrepancia es un motivo para investigar, no una prueba de que se robaron credenciales. Los ejemplos reservados .invalid de aquí no son destinos maliciosos reales.
- Guarda el identificador del mensaje y las marcas de tiempo junto con tus notas.
- Registra el dominio observado en lugar de la impresión visual del logotipo.
- Trata los destinos acortados u ocultos como una incertidumbre adicional.
- No visites un destino para decidir si es seguro.
Lee los resultados de autenticación con precisión
SPF se refiere a una ruta de envío autorizada para un dominio de sobre; DKIM, a una firma y al contenido firmado. DMARC añade la alineación con el dominio De visible y el tratamiento de la política. Lee los resultados de autenticación añadidos por tu sistema receptor de confianza, no texto arbitrario de cabecera aportado por un remitente.
Que la autenticación se supere no demuestra que el mensaje sea benigno ni que el remitente esté autorizado a hacer la petición. Un dominio controlado por un atacante puede autenticar su propio correo, y una cuenta legítima puede estar comprometida. Un fallo también puede necesitar contexto, como el comportamiento del reenvío.
Correlaciona la actividad de identidad y de aplicaciones
Si el reporte sugiere una visita o el envío de credenciales, revisa la ventana de inicio de sesión pertinente con herramientas autorizadas. Considera los resultados de las sesiones, los eventos de MFA, el consentimiento de aplicaciones y la actividad del buzón. Mantén coherente la zona horaria y no trates un solo campo como una conclusión completa del incidente.
Supón que un paquete sintético muestra un clic reportado a las 09:10, un inicio de sesión desconocido a las 09:12 y una solicitud de MFA denegada a las 09:13. La denegación limita lo que ese intento establece; no descarta otras sesiones ni autorizaciones. Pide las evidencias que faltan sobre el éxito y la sesión antes de escribir que la cuenta está a salvo o comprometida.
Elige una contención proporcional a la evidencia
Sigue la autoridad y el proceso de escalado de la organización. Las posibles acciones defensivas pueden incluir poner en cuarentena un mensaje malicioso confirmado, revocar las sesiones afectadas o revisar una autorización de aplicación no autorizada. La acción correcta depende del alcance verificado y del contexto operativo.
Conserva las evidencias relevantes y registra quién aprobó y ejecutó cada cambio. Un restablecimiento de contraseña por sí solo puede no resolver una sesión activa ni un acceso delegado de aplicación. Valida el resultado en lugar de suponer que un control funcionó porque alguien pulsó su botón.
Escribe el traspaso que necesita otro analista
Indica el desencadenante, la cronología, las evidencias, el alcance actual, el nivel de confianza y el siguiente responsable. Incluye lo que se ha contenido y lo que sigue sin resolver. No infles un evento sospechoso hasta convertirlo en un compromiso de cuenta confirmado para que el informe suene concluyente.
Para practicar, repite tu evaluación después de añadir una regla de buzón no autorizada confirmada. Explica cómo esa nueva evidencia cambia el alcance, la gravedad, la contención y las prioridades de evidencia. El laboratorio Pro de SOC ya publicado te ofrece un paquete sintético completo y revisiones desarrolladas para este tipo de razonamiento.
Fuentes y alcance
Esta es una guía educativa original de BitsSecured. Usa ejemplos de práctica independientes, no preguntas reales de examen, y no promete un aprobado, una certificación ni un empleo. BitsSecured no está afiliada a CompTIA ni cuenta con su aval.