Vorpsel / Servicios / Defensa y respuesta
Respuesta a incidentes
Cuando algo salió mal, le ayudamos a evitar que se propague, descubrir cómo empezó y qué alcanzó, eliminar al atacante y volver a la operación normal con las evidencias preservadas.
En resumen
- Para ransomware, robo de cuentas, fuga de datos y actividad sospechosa
- Formato respuesta de emergencia, o un contrato con horas acordadas
- Evidencias recopiladas y guardadas de forma que sirvan ante aseguradoras y abogados
- Usted recibe una línea de tiempo, la causa raíz y qué cambiar
Las primeras horas deciden la mayor parte del costo
Durante un incidente hay dos errores comunes: actuar demasiado tarde y actuar demasiado rápido. Apagar o reinstalar equipos antes de recopilar las evidencias puede ocultar cómo entró el atacante y dejar la misma puerta abierta.
Nuestro primer trabajo es darle un panorama claro y un plan: qué contener ahora, qué preservar, a quién hay que avisar y cuándo. Después hacemos el trabajo con su equipo, paso a paso, y llevamos un registro escrito de cada decisión.
Señales de que puede tener un incidente
Archivos que no se pueden abrir
Archivos renombrados o cifrados, o una nota de rescate en un servidor o carpeta compartida.
Inicios de sesión que nadie reconoce
Accesos a cuentas de correo, nube o administrador desde lugares o en horarios que no tienen sentido.
Cambios inesperados
Cuentas nuevas, permisos cambiados, programas o tareas programadas nuevas que nadie del equipo creó.
Un aviso de afuera
Un cliente, un socio, un banco o las autoridades avisan de algo vinculado a su empresa.
Sus datos en el lugar equivocado
Datos de la empresa o de clientes ofrecidos o publicados donde no deberían estar.
Una alerta que no puede explicar
Una herramienta de seguridad marcó algo grave y el equipo no está seguro de qué significa.
Cómo respondemos
Estas fases siguen la guía de manejo de incidentes publicada por el NIST. En la práctica se superponen: la contención empieza mientras la investigación todavía está en curso.
Triaje y contención
Confirmamos lo que está pasando, aislamos los equipos y cuentas afectados y detenemos la propagación sin destruir evidencias.
Investigación
Recopilamos logs y evidencias de disco y memoria y reconstruimos la línea de tiempo: cómo entró el atacante, qué hizo y qué alcanzó.
Erradicación y recuperación
Eliminamos la persistencia, cambiamos las credenciales expuestas y guiamos el regreso de los sistemas al servicio, atentos a un regreso del atacante.
Lecciones aprendidas
Entregamos el informe final y una reunión para acordar los cambios que evitan que el mismo incidente se repita.
Qué atendemos
Ransomware
Contención, alcance del cifrado y del robo de datos, recuperación segura desde copias de respaldo y apoyo en las decisiones que siguen.
Apropiación de cuentas
Cuentas de correo, nube o administrador comprometidas: qué se accedió, qué se cambió y cómo cerrarlo.
Fuga de datos
Qué datos salieron, desde dónde y hacia quién, con los hechos que necesita para las notificaciones exigidas por la LGPD y otras leyes.
Compromiso de aplicaciones web
Sitios desfigurados, scripts inyectados que roban datos de tarjeta, web shells y APIs abusadas.
Incidentes en la nube
Claves filtradas, recursos inesperados, almacenamiento expuesto y cambios hechos por una identidad desconocida.
Actividad sospechosa
Una alerta que no puede explicar. Le decimos si es un incidente y, si no lo es, por qué.
Prepárese antes de necesitarlo
El mejor momento para acordar cómo se manejará un incidente es antes de que ocurra. Un contrato de disponibilidad le deja el contrato, los contactos y un plan ya listos.
Contrato de respuesta a incidentes
Horas acordadas de antemano, tiempo de respuesta en el contrato y ninguna negociación durante la crisis. Las horas no usadas pueden ir a trabajo de preparación.
Plan de respuesta
Quién decide, a quién se llama, cómo contactarlos cuando el correo no funciona y qué decir a los clientes, escrito para su empresa.
Ejercicio de mesa
Un escenario realista jugado con su equipo técnico y la dirección, para encontrar los huecos del plan mientras nada está en juego.
Qué recopilamos y analizamos
Logs del sistema y de seguridad
Inicios de sesión, programas ejecutados y cambios en los equipos y servidores afectados.
Disco y memoria
Copias hechas antes de limpiar los equipos, para que no se pierda la evidencia de lo que se ejecutó.
Logs de nube y de correo
Registros de auditoría de las cuentas de nube y los buzones de correo, donde empiezan muchos incidentes.
Registros de red
Registros de firewall, proxy y DNS que muestran adónde fueron los datos y qué se conectó con qué.
Su propia línea de tiempo
Lo que su equipo vio e hizo, y cuándo, anotado mientras está fresco.
Cadena de custodia
Un registro de quién recopiló cada evidencia, cuándo y cómo se guardó.
Formas de trabajar con nosotros
Puede llamarnos en medio de un incidente, o acordar todo antes de que ocurra uno.
| Opción | Indicado para | Qué incluye |
|---|---|---|
| Respuesta de emergencia | Un incidente que está ocurriendo ahora | Triaje, contención, investigación, apoyo en la recuperación y el informe final |
| Contrato de respuesta a incidentes | Estar listo antes de que pase cualquier cosa | Horas acordadas de antemano, tiempo de respuesta en el contrato, un plan de respuesta y un ejercicio de mesa al año |
Preguntas
Creemos que tenemos un incidente ahora. ¿Qué hacemos primero?
Todavía no apague ni reinstale los equipos afectados. Desconéctelos de la red si el ataque se está propagando, anote lo que vio y cuándo, y contáctenos por el formulario con la palabra incidente en el mensaje.
¿Necesitamos ser clientes de Vorpsel?
No. Respondemos en los sistemas y herramientas que usted tiene. Si usa el agente de Vorpsel, el aislamiento y la recopilación de evidencias son más rápidos porque se pueden hacer desde la consola.
¿Pueden trabajar con nuestra aseguradora y nuestros abogados?
Sí. Mantenemos la cadena de custodia de las evidencias y redactamos el informe para que pueda compartirse con aseguradoras, abogados y autoridades cuando sea necesario.
¿Negocian con los atacantes?
No. Le damos los hechos técnicos que respaldan la decisión, como qué datos se llevaron y si las copias de respaldo se pueden usar. La decisión queda en usted y sus asesores.
¿Pueden trabajar de forma remota?
La mayor parte del trabajo puede hacerse de forma remota, con el acceso que usted otorga a los sistemas y logs afectados. Cuando alguien necesita estar en el lugar, lo acordamos con usted.
¿Ayudan con las notificaciones que exige la ley?
Le damos los hechos técnicos que necesita la notificación: qué pasó, qué datos estuvieron involucrados y cuándo. El análisis legal y la notificación en sí quedan en usted y sus abogados.
Otros servicios
Cuéntenos qué necesita.
Respondemos con algunas preguntas sobre el alcance y luego enviamos una propuesta con fechas y precio.