Vorpcel / Servicios / Defensa y respuesta
Cuando algo salió mal, le ayudamos a evitar que se propague, descubrir cómo empezó y qué alcanzó, eliminar al atacante y volver a la operación normal con las evidencias preservadas.
En resumen
Durante un incidente hay dos errores comunes: actuar demasiado tarde y actuar demasiado rápido. Apagar o reinstalar equipos antes de recopilar las evidencias puede ocultar cómo entró el atacante y dejar la misma puerta abierta.
Nuestro primer trabajo es darle un panorama claro y un plan: qué contener ahora, qué preservar, a quién hay que avisar y cuándo. Después hacemos el trabajo con su equipo, paso a paso, y llevamos un registro escrito de cada decisión.
Archivos renombrados o cifrados, o una nota de rescate en un servidor o carpeta compartida.
Accesos a cuentas de correo, nube o administrador desde lugares o en horarios que no tienen sentido.
Cuentas nuevas, permisos cambiados, programas o tareas programadas nuevas que nadie del equipo creó.
Un cliente, un socio, un banco o las autoridades avisan de algo vinculado a su empresa.
Datos de la empresa o de clientes ofrecidos o publicados donde no deberían estar.
Una herramienta de seguridad marcó algo grave y el equipo no está seguro de qué significa.
Estas fases siguen la guía de manejo de incidentes publicada por el NIST. En la práctica se superponen: la contención empieza mientras la investigación todavía está en curso.
Confirmamos lo que está pasando, aislamos los equipos y cuentas afectados y detenemos la propagación sin destruir evidencias.
Recopilamos logs y evidencias de disco y memoria y reconstruimos la línea de tiempo: cómo entró el atacante, qué hizo y qué alcanzó.
Eliminamos la persistencia, cambiamos las credenciales expuestas y guiamos el regreso de los sistemas al servicio, atentos a un regreso del atacante.
Entregamos el informe final y una reunión para acordar los cambios que evitan que el mismo incidente se repita.
Contención, alcance del cifrado y del robo de datos, recuperación segura desde copias de respaldo y apoyo en las decisiones que siguen.
Cuentas de correo, nube o administrador comprometidas: qué se accedió, qué se cambió y cómo cerrarlo.
Qué datos salieron, desde dónde y hacia quién, con los hechos que necesita para las notificaciones exigidas por la LGPD y otras leyes.
Sitios desfigurados, scripts inyectados que roban datos de tarjeta, web shells y APIs abusadas.
Claves filtradas, recursos inesperados, almacenamiento expuesto y cambios hechos por una identidad desconocida.
Una alerta que no puede explicar. Le decimos si es un incidente y, si no lo es, por qué.
El mejor momento para acordar cómo se manejará un incidente es antes de que ocurra. Un contrato de disponibilidad le deja el contrato, los contactos y un plan ya listos.
Horas acordadas de antemano, tiempo de respuesta en el contrato y ninguna negociación durante la crisis. Las horas no usadas pueden ir a trabajo de preparación.
Quién decide, a quién se llama, cómo contactarlos cuando el correo no funciona y qué decir a los clientes, escrito para su empresa.
Un escenario realista jugado con su equipo técnico y la dirección, para encontrar los huecos del plan mientras nada está en juego.
Inicios de sesión, programas ejecutados y cambios en los equipos y servidores afectados.
Copias hechas antes de limpiar los equipos, para que no se pierda la evidencia de lo que se ejecutó.
Registros de auditoría de las cuentas de nube y los buzones de correo, donde empiezan muchos incidentes.
Registros de firewall, proxy y DNS que muestran adónde fueron los datos y qué se conectó con qué.
Lo que su equipo vio e hizo, y cuándo, anotado mientras está fresco.
Un registro de quién recopiló cada evidencia, cuándo y cómo se guardó.
Puede llamarnos en medio de un incidente, o acordar todo antes de que ocurra uno.
| Opción | Indicado para | Qué incluye |
|---|---|---|
| Respuesta de emergencia | Un incidente que está ocurriendo ahora | Triaje, contención, investigación, apoyo en la recuperación y el informe final |
| Contrato de respuesta a incidentes | Estar listo antes de que pase cualquier cosa | Horas acordadas de antemano, tiempo de respuesta en el contrato, un plan de respuesta y un ejercicio de mesa al año |
Todavía no apague ni reinstale los equipos afectados. Desconéctelos de la red si el ataque se está propagando, anote lo que vio y cuándo, y contáctenos por el formulario con la palabra incidente en el mensaje.
No. Respondemos en los sistemas y herramientas que usted tiene. Si usa el agente de Vorpcel, el aislamiento y la recopilación de evidencias son más rápidos porque se pueden hacer desde la consola.
Sí. Mantenemos la cadena de custodia de las evidencias y redactamos el informe para que pueda compartirse con aseguradoras, abogados y autoridades cuando sea necesario.
No. Le damos los hechos técnicos que respaldan la decisión, como qué datos se llevaron y si las copias de respaldo se pueden usar. La decisión queda en usted y sus asesores.
La mayor parte del trabajo puede hacerse de forma remota, con el acceso que usted otorga a los sistemas y logs afectados. Cuando alguien necesita estar en el lugar, lo acordamos con usted.
Le damos los hechos técnicos que necesita la notificación: qué pasó, qué datos estuvieron involucrados y cuándo. El análisis legal y la notificación en sí quedan en usted y sus abogados.
Respondemos con algunas preguntas sobre el alcance y luego enviamos una propuesta con fechas y precio.