Empieza aquí
Tu primer paso útil
Empieza con la lección gratuita de respuesta al ransomware. En un incidente real, sigue el proceso de incidentes de tu organización y recurre a personal de respuesta cualificado.
Escala y establece una visión compartida
Usa el canal de incidentes aprobado e identifica a la persona que coordina la respuesta. Registra el desencadenante, el servicio afectado, la hora de observación y la fuente del reporte. Un solo archivo cifrado, una nota de rescate o una alerta de seguridad pueden justificar una investigación urgente sin establecer el alcance completo.
Evita enviar detalles sensibles del incidente por un sistema que pueda estar comprometido. Usa el plan de comunicación de confianza de la organización. No improvises el contacto con un atacante ni asumas compromisos comerciales, legales o de recuperación que excedan tu autoridad.
Contén con contexto operativo
El objetivo de la contención es limitar más daños conservando una respuesta viable. El personal de respuesta cualificado puede aislar los sistemas afectados o restringir rutas de acceso concretas según el proceso de incidentes. Ten en cuenta las dependencias: cortar un servicio crítico o una ruta de red compartida puede tener consecuencias más allá del endpoint visible.
Si no se puede lograr el aislamiento y la actividad destructiva continúa, quien responde debe sopesar el daño inmediato frente a la pérdida de evidencias volátiles. Es una decisión de respuesta que depende del contexto, no una instrucción universal de apagar todas las máquinas. Registra la decisión, la autoridad y el motivo.
Conserva las evidencias antes de que desaparezcan
Conserva los registros relevantes, las alertas, las marcas de tiempo y las observaciones de los sistemas mediante los procedimientos aprobados de manejo de evidencias. Conserva los originales, anota los métodos de recopilación y restringe el acceso. Evita limpiezas o restauraciones que borrarían la única evidencia de la vía de acceso antes de que el personal de respuesta la haya evaluado.
Construye una cronología de trabajo que distinga la hora del evento de la hora del descubrimiento. “El recurso compartido de archivos dejó de estar disponible a las 10:20” no establece cuándo empezó la intrusión. Haz visible la incertidumbre para que el análisis posterior pueda afinar la cronología sin reescribir afirmaciones sin respaldo.
- Registra qué sistemas y cuentas están ahora dentro del alcance.
- Conserva la zona horaria y la fuente de cada evento importante.
- Documenta las acciones de respuesta y quién las realizó.
- Guarda las evidencias en una ubicación aprobada con acceso controlado.
No confundas el cifrado con una prueba de exfiltración
Un evento de cifrado no te dice si además se robaron datos. La ausencia de una transferencia visible en una muestra pequeña de registros no prueba que no se produjera ninguna. Indica qué evidencias hay disponibles y qué periodos, servicios o cuentas aún requieren revisión.
En un escenario ficticio, un trabajo de copia de seguridad se completa a las 02:00 y se reporta el cifrado a las 08:30. Esos dos hechos no prueban que la copia esté limpia, que el atacante llegara después de las 02:00 ni que el incidente se limite al servidor cifrado. Tu nota de respuesta debe evitar las tres suposiciones.
Recupera en un entorno validado
Prioriza la restauración con el responsable del servicio y la persona que lidera la respuesta. Establece que los datos de recuperación elegidos son adecuados, que el entorno está controlado y que la vía de acceso investigada no reintroducirá simplemente el problema. Prueba el proceso de recuperación y la función de negocio antes de reconectar de forma amplia.
Un trabajo de restauración exitoso es una observación, no el resultado completo de la recuperación. Comprueba la aplicación, las dependencias de identidad y de red necesarias, la monitorización y la capacidad de detectar una nueva actividad sospechosa. Mantén implicado al equipo de respuesta mientras se restablece el servicio.
Comunica con hechos, decisiones y próximas actualizaciones
Una actualización ejecutiva concisa debe describir el impacto en el servicio, lo que se sabe, lo que se está conteniendo, las incertidumbres importantes y cuándo se dará la siguiente actualización. Separa una estimación de trabajo de un plazo de recuperación comprometido. Evita decir “todo está a salvo” cuando la investigación sigue incompleta.
Practica con esta estructura: impacto observado; alcance actual; acciones realizadas; preguntas sin resolver; decisión necesaria; próxima actualización. El laboratorio Pro de ransomware ya publicado ofrece un escenario sintético y revisiones desarrolladas para que compares tus prioridades sin manipular malware ni modificar un sistema real.
Fuentes y alcance
Esta es una guía educativa original de BitsSecured. Usa ejemplos de práctica independientes, no preguntas reales de examen, y no promete un aprobado, una certificación ni un empleo. BitsSecured no está afiliada a CompTIA ni cuenta con su aval.