Descubres que una alerta cerrada hace tres semanas era en realidad una intrusión real. ¿Y ahora qué?

Escala de inmediato y asume que el atacante ha tenido tres semanas, así que dimensiona a lo ancho antes de contener. Reabre el caso, reconstruye la línea de tiempo con la telemetría retenida y caza la actividad posterior que esperarías: persistencia, robo de credenciales, movimiento lateral y exfiltración. Contén según los hallazgos actuales y no según la alerta original, en una sola acción coordinada. Después, haz una revisión sin culpables sobre por qué la decisión original parecía correcta.

Se lo digo a mi responsable enseguida, antes de tener la foto completa, porque tres semanas de permanencia son un incidente y la peor versión de esto es un analista investigando solo y en silencio para salvar la cara. Después resisto la tentación de aislar el host original de inmediato, porque tras tres semanas ese host probablemente no es el único y contener pronto alerta al atacante. Así que primero dimensiono: reconstruyo la línea de tiempo con la retención que aún tenga y luego cazo hacia delante lo que debería haber venido después, es decir mecanismos de persistencia, cuentas de servicio nuevas, acceso a credenciales, aristas nuevas de autenticación entre cuenta y host, y anomalías de volumen de salida. Cuando conozco la huella, contengo en una sola acción coordinada en vez de host por host. Después quiero que la revisión sea sobre el proceso, no sobre la persona. Cuando hicimos esto en un trabajo anterior el hallazgo honesto fue que el analista no tenía logging de línea de comandos en ese host, así que la decisión parecía correcta con la evidencia disponible. El arreglo fue telemetría más una regla de runbook sobre cerrar por ausencia de evidencia.