Respuesta a incidentes

Parte de la sección Fundamentos de seguridad del Journey de Cybersecurity de Coddy. Lección 38 de 43.

Cuando un atacante consigue acceder a una cuenta de una empresa, lo primero es impedir que cause más daños. Después, investigas, eliminas cualquier cosa que haya dejado y ayudas al personal a volver a trabajar de forma segura. Este proceso se llama respuesta a incidentes.

A veces, un atacante puede robar una sesión del navegador de un ordenador. La sesión ya tiene la sesión iniciada, así que puede que el atacante no tenga que introducir una contraseña ni volver a pasar por MFA. Por ejemplo, supongamos que Lee informa de que la sesión externa que aparece a continuación no es suya:

seclab sessions lee

Deberías ver:

user  address       machine  since
lee   203.0.113.77  mail     2026-10-25 21:04:00

Deshabilita la cuenta de Lee mientras investigas. Esto impide nuevos inicios de sesión y finaliza las sesiones que ya están abiertas:

seclab disable lee

Deberías ver:

Disabled lee. They can no longer log in.

Lee no podrá trabajar con esta cuenta mientras esté deshabilitada. Conserva el registro de la cuenta para poder investigar y restablece el acceso una vez que se haya resuelto el problema.

Desafío

Fácil

Ticket de Sam, responsable de TI

Se activó una alerta de una nueva cuenta de administrador mientras trasladábamos los sistemas. Un atacante ya copió una pequeña muestra de pedidos y se está preparando para copiar la lista completa de clientes. Encuentra la cuenta del personal que está usando y desactívala antes de que salgan más datos. Conserva su registro, mi cuenta y nuestro servicio de copias de seguridad aprobado.

Pruébalo tú mismo

Terminal