Lo que aprenderás
Objetivos de aprendizaje
- Mapea los puntos de entrada habituales y el movimiento lateral
- Prioriza una contención coordinada
- Define las evidencias necesarias antes de restablecer el servicio
Reduce las vías que puede usar un atacante
Haz un inventario del acceso remoto expuesto, exige una autenticación sólida y corrige los sistemas vulnerables. Separa las cuentas ordinarias de los privilegios administrativos. Una sola credencial robada no debería dar acceso sin restricciones a estaciones de trabajo, servidores y copias de seguridad. La segmentación y la supervisión ayudan a limitar y detectar el movimiento, pero ninguna sustituye a unos controles de acceso mantenidos.
Coordina la contención
Cuando se detecte cifrado o una intrusión creíble, usa el plan de incidentes y un canal de comunicación de confianza. Identifica los sistemas afectados y en riesgo. El aislamiento debe coordinarse con el equipo de respuesta, sobre todo en servicios compartidos o críticos. Conserva los registros, los mensajes y una cronología. Evita limpiezas improvisadas que destruyan evidencias o que vuelvan a conectar al atacante con sistemas limpios.
Recupera hasta un estado defendible
Una copia de seguridad es un insumo de la recuperación, no una prueba de que el atacante se haya ido. Entiende el acceso inicial, el alcance y la persistencia; corrige las identidades y los sistemas afectados. Restaura en un entorno aislado, verifica los datos y las dependencias de las aplicaciones y supervisa antes de volver a conectar a los usuarios. Decide el orden de recuperación según las prioridades del negocio y los objetivos RPO/RTO medidos.
Aprende de lo ocurrido
Documenta qué se sabía en cada decisión, quién aprobó la contención y cómo se validó la recuperación. Convierte las carencias en mejoras asignadas. Un ejercicio de simulación y una prueba de restauración medida son más útiles que afirmar sin comprobarlo que la recuperación está «cubierta».
Ejemplo aplicado
Ponlo en contexto
Un equipo de fabricación ficticio descubre recursos compartidos cifrados. Aísla los segmentos afectados, protege la administración de las copias de seguridad y restaura una aplicación prioritaria en un entorno limpio tras comprobar el compromiso de identidades y las dependencias.
Escenario ilustrativo con fines de aprendizaje, no una afirmación sobre un incidente verificado de un cliente.Errores frecuentes
- Conectar las copias de seguridad a una administración comprometida
- Equiparar archivos restaurados con una recuperación completa
- Omitir una cronología de decisiones
Tu lista de verificación práctica
Las marcas de la lista de verificación son temporales y no se registran como progreso de la cuenta.
Resumen breve
La preparación frente al ransomware combina un acceso limitado, un aviso temprano, una contención atenta a las evidencias y una recuperación probada.