Tema 18
La seguridad de red no termina cuando ocurre un incidente. En ese momento comienza otra fase crítica: identificar qué pasa, contener el daño, recuperar la operación y aprender lo necesario para no repetir la misma debilidad. Responder bien no es improvisar, sino actuar con criterio bajo presión.
Incluso una red bien diseñada puede sufrir incidentes. Una cuenta comprometida, un servicio expuesto vulnerable, un cambio incorrecto, una mala segmentación heredada o una amenaza nueva pueden derivar en una situación que requiere acción inmediata. La diferencia entre un incidente controlado y una crisis mayor suele depender de la calidad de la respuesta.
Responder a un incidente de red no significa solo “apagar cosas”. Significa entender rápidamente qué está ocurriendo, reducir el impacto sin destruir evidencia útil, coordinar a las personas correctas y recuperar la operación con el menor daño posible.
Un incidente de red es cualquier evento que compromete o amenaza la confidencialidad, integridad, disponibilidad o control de la infraestructura de comunicación y de los servicios que dependen de ella.
Ejemplos típicos:
La respuesta a incidentes suele organizarse en fases. Aunque en la práctica pueden superponerse, esta estructura ayuda a no reaccionar de forma caótica.
La preparación ocurre antes del incidente y determina gran parte de la calidad de la respuesta posterior. Sin inventario, sin contactos claros, sin procedimientos mínimos y sin visibilidad, la organización queda obligada a improvisar bajo presión.
Prepararse implica:
La respuesta comienza cuando alguien detecta una señal: una alerta, una anomalía, una caída, un flujo sospechoso, una autenticación extraña o un comportamiento fuera de patrón. El paso siguiente es determinar si realmente se trata de un incidente y qué alcance podría tener.
Preguntas clave en esta fase:
No todos los incidentes requieren el mismo tipo de respuesta ni la misma urgencia. Una mala priorización puede consumir recursos en eventos menores mientras un problema crítico sigue creciendo.
| Criterio | Qué mide | Ejemplo |
|---|---|---|
| Impacto | Daño real o potencial | Afecta un servidor crítico o solo un equipo aislado |
| Alcance | Cuántos activos o segmentos están involucrados | Un host, una sede o varias zonas |
| Urgencia | Qué tan rápido puede empeorar | Exfiltración activa o evento ya detenido |
| Criticidad | Importancia del activo afectado | Red administrativa, perímetro o invitado |
La contención busca limitar el daño y evitar propagación. Es una de las fases más delicadas, porque actuar demasiado poco deja avanzar el incidente, pero actuar demasiado rápido y sin criterio puede empeorar la situación o destruir evidencia útil.
Algunas medidas típicas de contención en red:
En muchos casos conviene distinguir entre contención inmediata y contención sostenida.
Por ejemplo, bloquear una IP o aislar un segmento puede ser una contención inmediata. Rediseñar reglas, mover servicios o reconfigurar accesos puede ser parte de la contención sostenida hasta terminar la remediación.
Responder no implica perder toda posibilidad de análisis posterior. Siempre que sea posible, conviene preservar evidencia útil antes o durante las acciones de contención.
Eso puede incluir:
La evidencia es clave para entender causa raíz y justificar decisiones posteriores.
Una vez contenido el incidente, llega el momento de eliminar la causa o el acceso que lo hizo posible. La erradicación no es simplemente “volver a habilitar todo”, sino remover persistencia, cerrar la brecha explotada y evitar recurrencia inmediata.
Ejemplos:
La recuperación consiste en restaurar operación segura y estable. No se trata solo de volver a encender servicios, sino de hacerlo con el riesgo reducido y con monitoreo reforzado para detectar posibles recaídas.
En esta fase suelen definirse:
La respuesta técnica necesita acompañarse de comunicación clara. En incidentes de red, muchas áreas pueden verse afectadas: operaciones, soporte, usuarios, responsables de negocio, proveedores y dirección.
Una mala comunicación genera confusión, acciones contradictorias o decisiones sin contexto. Por eso es importante definir:
Una vez estabilizada la situación, la organización debería revisar qué ocurrió, por qué pudo ocurrir y qué cambios son necesarios. Si no se realiza este aprendizaje, el mismo incidente puede repetirse con facilidad.
Algunas preguntas útiles:
| Escenario | Acción de contención posible | Objetivo |
|---|---|---|
| Cuenta VPN comprometida | Revocar credenciales y cerrar sesión activa | Detener acceso remoto no autorizado |
| Movimiento lateral interno | Aislar host o segmento | Reducir propagación |
| DoS o saturación | Filtrado temporal y mitigación perimetral | Recuperar disponibilidad |
| Servicio expuesto vulnerable | Retirar publicación o limitar acceso | Eliminar exposición inmediata |
La respuesta a incidentes de red es el punto donde se pone a prueba todo lo construido antes: segmentación, visibilidad, autenticación, hardening y capacidad operativa. Una organización madura no espera evitar todos los incidentes; se prepara para detectarlos, contenerlos y recuperarse con rapidez y claridad. Ese enfoque es lo que transforma la seguridad de red en una disciplina realmente resiliente.
Este tema cierra el recorrido principal del curso, integrando prevención, detección, control, recuperación y mejora continua como partes inseparables de una estrategia sólida de Seguridad en Redes.