01Procedimiento de Recolección de Información de Incidentes
La recolección de información es el primer paso fundamental en la respuesta a incidentes. Debe realizarse de forma sistemática y precisa para preservar la integridad de la evidencia y comprender el alcance del incidente.
Fases del proceso de recolección
- Detección y notificación. Registrar fecha, hora y ubicación. Documentar tipo de incidente, sistemas afectados y notificar al CSIRT según los protocolos establecidos.
- Preservación de evidencia. Evitar acciones que puedan alterar o destruir evidencia digital. Documentar el estado de los sistemas antes de cualquier cambio. Crear copias forenses.
- Recopilación de logs. Obtener registros de firewalls, IDS/IPS, servidores y estaciones de trabajo. Centralizar en un SIEM. Asegurar integridad y autenticidad mediante hashes.
- Captura de tráfico de red. Capturar con Wireshark o tcpdump. Filtrar y analizar patrones sospechosos. Almacenar capturas de forma segura y documentada.
- Correlación y análisis. Correlacionar logs, tráfico y otros datos para reconstruir la secuencia de eventos. Identificar IOCs, actores maliciosos y evaluar el impacto.
- Documentación detallada. Informe del incidente con causa raíz, alcance e impacto. Cadena de custodia para toda la evidencia digital recopilada.
Herramientas de recolección
02Técnicas y Herramientas de Análisis y Correlación de Eventos
Técnicas principales
Análisis de Registros (Logs)
Centralizar, normalizar y analizar logs de múltiples fuentes (firewalls, IDS, servidores). Buscar patrones, anomalías y eventos de interés mediante consultas y filtros.
Análisis de Tráfico de Red
Capturar y analizar protocolos, IPs y puertos. Reconstruir sesiones y analizar paquetes para identificar comunicaciones maliciosas o exfiltración de datos.
Análisis de Comportamiento (UEBA)
Establecer líneas base de comportamiento normal. Detectar desviaciones mediante aprendizaje automático. Identificar amenazas internas o cuentas comprometidas.
Correlación de Eventos
Reglas que relacionan eventos de diferentes fuentes. Motor de correlación en tiempo real. Identificar incidentes complejos que no serían visibles de forma aislada.
Inteligencia de Amenazas (IOCs)
Fuentes externas de inteligencia sobre amenazas conocidas. Indicadores de compromiso: IPs, dominios, hashes de archivos. Automatización de búsqueda en logs y tráfico.
Herramientas por categoría
⚙️ SIEM — Correlación centralizada
- Splunk, IBM QRadar, Elastic Security
- Centralizan, analizan y correlacionan eventos de múltiples fuentes en tiempo real
🔬 Análisis forense
- Autopsy, The Sleuth Kit, Volatility
- Análisis de discos duros, RAM y otros dispositivos para identificar la causa raíz
🦈 Tráfico de red
- Wireshark, tcpdump, Suricata
- Captura y análisis de paquetes para identificar patrones de tráfico sospechosos
🎯 Inteligencia de amenazas
- VirusTotal, AlienVault OTX, MISP
- Información sobre amenazas conocidas y detección de IOCs en los sistemas
03Proceso de Verificación de la Intrusión
El proceso de verificación de intrusión es un conjunto de pasos estructurados para confirmar si un sistema o red ha sido comprometido, determinar el alcance del daño e identificar la causa raíz.
- Detección inicial. Alertas de IDS/IPS, actividad inusual en registros, reportes de usuarios o herramientas de monitorización que indican posible intrusión.
- Análisis preliminar. Revisión de logs y alertas. Análisis del tráfico de red. Verificación de integridad de archivos y evaluación del impacto potencial en CID.
- Investigación forense. Recopilación de evidencia preservando la cadena de custodia. Análisis de discos y RAM. Reconstrucción de la secuencia de eventos.
- Contención y erradicación. Aislamiento de sistemas comprometidos. Eliminación de malware. Cambio de contraseñas. Aplicación de parches en las vulnerabilidades explotadas.
- Recuperación y monitoreo. Restauración desde copias de seguridad. Reconfiguración de sistemas. Monitoreo continuo para asegurar que no se producen nuevas intrusiones.
- Informe y lecciones aprendidas. Documentación exhaustiva del incidente y las acciones tomadas. Mejora de procedimientos para prevenir incidentes futuros similares.
04Organismos de Gestión de Incidentes: CERT Nacionales e Internacionales
Los CERT (Computer Emergency Response Team) son equipos altamente especializados en ciberseguridad que actúan como centros de coordinación y expertos en la prevención, detección y respuesta a incidentes.
Funciones de los CERT
Prevención
Difunden información sobre amenazas emergentes. Publican guías y recomendaciones de seguridad. Realizan campañas de concienciación.
Detección
Monitorizan el ciberespacio en busca de incidentes. Recopilan y analizan información sobre amenazas y vulnerabilidades activas.
Respuesta a incidentes
Proporcionan asistencia técnica a organizaciones afectadas. Coordinan respuestas a incidentes de gran escala. Realizan análisis forenses.
Investigación y desarrollo
Investigan nuevas técnicas de ataque y defensa. Desarrollan herramientas y metodologías. Colaboran con otras organizaciones de investigación.
Organismos de referencia
CCN-CERT
- Centro Criptológico Nacional
- Referencia para la Administración Pública española
- Desarrolla el ENS (Esquema Nacional de Seguridad)
CERT-MX
- Centro Nacional de Respuesta a Incidentes Cibernéticos
- Coordina la respuesta nacional ante ciberincidentes
CERT-EU
- Servicio de Ciberseguridad de la UE
- Protege las instituciones, órganos y organismos europeos
FIRST.org
- Forum of Incident Response and Security Teams
- Red global de equipos de respuesta a incidentes
- Facilita el intercambio de información entre CERTs
05Responsabilidades en la Notificación y Gestión de Incidentes
Usuarios Finales
Identificar correos de phishing, comportamiento inusual del sistema y cualquier evento fuera de lo normal a través de los canales designados.
Personal de TI (Primera Línea)
Verificar autenticidad de reportes, realizar diagnósticos básicos y aplicar medidas de contención inicial antes de escalar.
CSIRT (Equipo de Respuesta a Incidentes)
Análisis forense, contención de malware, restauración de sistemas y documentación completa del incidente.
Administradores de Sistemas y Redes
Implementar políticas de seguridad, monitorizar logs de eventos y responder a las alertas generadas por las herramientas de seguridad.
CISO (Oficial de Seguridad de la Información)
Desarrollar y mantener el plan de respuesta. Coordinar con equipos externos. Realizar evaluaciones de riesgos y garantizar el cumplimiento.
Alta Dirección
Aprobar políticas de seguridad, apoyar la implementación de medidas y comunicar con las partes interesadas externas en incidentes graves.
06Categorización de Incidentes según su Impacto Potencial
La categorización permite priorizar la respuesta y asignar los recursos adecuados a cada tipo de incidente de forma proporcional a su gravedad real.
Incidentes menores
- Impacto mínimo en CID
- Número limitado de sistemas
- Sin robo de datos sensibles
- Recuperación rápida y simple
- Intentos fallidos de login
- Malware en sistema aislado
- Escaneo de puertos
Incidentes moderados
- Impacto moderado en CID
- Varios usuarios o sistemas
- Posible robo de datos no sensibles
- Recuperación requiere tiempo
- Malware en varios sistemas
- Acceso no autorizado a datos no críticos
- DoS en servicios no críticos
Incidentes graves
- Impacto grave en CID
- Sistemas críticos o datos sensibles
- Robo de datos confidenciales
- Recuperación compleja y costosa
- Ransomware en datos críticos
- Exfiltración de información sensible
- DDoS en servicios críticos
Factores para determinar el impacto
07Criterios para la Determinación de Evidencias Objetivas
Relevancia
Directamente relacionada con el incidente. Responde a: ¿Qué? ¿Cuándo? ¿Cómo? ¿Quién? ¿Cuál fue el impacto?
Admisibilidad
Recopilada según procedimientos legales y forenses. Auténtica, no alterada. Obtenida de manera legal y ética.
Fiabilidad
Verificable y reproducible. De fuentes confiables y creíbles. Consistente con otras evidencias recopiladas.
Integridad
Completa y exhaustiva. Con todos los datos y metadatos relevantes. Preservada en su forma original sin modificaciones.
Cadena de Custodia
Registro detallado de quién accedió a la evidencia, cuándo y qué acciones realizó. Protección contra accesos no autorizados.
Tipos de evidencias digitales
08Proceso de Detección y Registro de Incidentes
Fuentes de detección
IDS/IPS
Monitorean tráfico y generan alertas ante actividades sospechosas en tiempo real.
SIEM
Recopilan y correlacionan logs de múltiples fuentes para detectar patrones anómalos.
Antivirus/Antimalware
Detectan y bloquean malware en los sistemas de forma automática o a demanda.
Logs de eventos
Registran actividad de sistemas, aplicaciones y dispositivos de red continuamente.
Alertas de usuarios
Reportes de actividades sospechosas a través de canales de comunicación designados.
Monitorización de red
Supervisan rendimiento y tráfico para detectar anomalías en el comportamiento de la red.
Formulario de registro estandarizado
- Fecha y hora de detección del incidente
- Tipo de incidente (malware, acceso no autorizado, DoS, phishing…)
- Sistemas o usuarios afectados con detalle de la infraestructura impactada
- Descripción detallada del incidente y eventos observados
- Fuente de detección (IDS, SIEM, usuario, monitorización…)
- Nivel de gravedad inicial (bajo, medio, alto)
- Información de contacto del reportante y responsable de seguimiento
09Guía de Clasificación y Análisis Inicial de Incidentes
Clasificación por tipo de incidente
Evaluación del impacto previsible
🔒 Impacto en la Confidencialidad
- ¿Se han comprometido datos sensibles?
- ¿Cuál es el riesgo de divulgación de información confidencial?
✅ Impacto en la Integridad
- ¿Se han modificado o destruido datos?
- ¿Cuál es el riesgo de corrupción de datos críticos?
⚡ Impacto en la Disponibilidad
- ¿Se han interrumpido servicios críticos?
- ¿Cuál es el riesgo de interrupción prolongada de operaciones?
💰 Impacto Financiero y Reputacional
- Pérdidas económicas potenciales y costes de recuperación
- Riesgo de pérdida de confianza de clientes y socios
10Nivel de Intervención Requerido según el Impacto
El nivel de intervención debe ser proporcional a la gravedad del incidente, optimizando el uso de recursos y minimizando los daños de forma eficiente.
Criterios para determinar el nivel
- Gravedad del incidente – Clasificación inicial (bajo, medio, alto)
- Criticidad de los sistemas – Impacto en sistemas y datos esenciales para la operación
- Volumen y sensibilidad de datos – Riesgo de divulgación de información confidencial
- Continuidad del negocio – Riesgo de interrupción de operaciones críticas
- Requisitos legales – Obligaciones de notificación establecidas por ley (RGPD, ENS…)
11Guía para la Investigación y Diagnóstico del Incidente
- Preparación y recopilación inicial. Registrar fecha, hora y tipo. Recopilar logs de firewalls, IDS/IPS, servidores. Capturar tráfico de red relevante con preservación de integridad.
- Análisis de registros. Buscar patrones y anomalías. Usar consultas y filtros para identificar eventos de interés. Correlacionar eventos de diferentes fuentes.
- Análisis de comportamiento (UEBA). Detectar desviaciones del comportamiento normal de usuarios, sistemas y aplicaciones. Establecer líneas base y comparar.
- Correlación de eventos. Motor de correlación en tiempo real. Lógica condicional para identificar incidentes complejos. Integración con inteligencia de amenazas.
- Análisis de IOCs. Buscar indicadores de compromiso en logs y tráfico. Contrastar con bases de datos de amenazas conocidas (VirusTotal, MISP, OTX).
- Análisis forense digital. Si es necesario, análisis profundo de sistemas afectados. Recuperar y analizar datos eliminados u ocultos. Determinar causa raíz y alcance del daño.
12Resolución y Recuperación de Sistemas tras el Incidente
🚧 Contención del incidente
- Aislamiento de sistemas infectados de la red para evitar propagación lateral
- Segmentación de red para limitar el alcance del incidente
- Detención de procesos maliciosos y desactivación de cuentas comprometidas
- Bloqueo en firewalls de IPs y dominios maliciosos identificados
🧹 Erradicación de la amenaza
- Escaneo y eliminación de malware con herramientas actualizadas
- Análisis forense para identificar y eliminar todos los rastros de la amenaza
- Aplicación de parches de seguridad en las vulnerabilidades explotadas
- Reinstalación desde imagen limpia si el compromiso es profundo
🔄 Recuperación de datos y sistemas
- Restauración desde copias de seguridad verificadas previas al incidente
- Verificación de integridad de los datos restaurados antes de volver a producción
- Herramientas de recuperación de datos eliminados o cifrados (Recuva, TestDisk)
✅ Verificación y pruebas post-recuperación
- Análisis forense post-incidente para determinar causa raíz y alcance total
- Pruebas de penetración y escaneo de vulnerabilidades para verificar la seguridad
- Pruebas de funcionalidad y rendimiento para asegurar normalidad operativa
13Comunicación del Incidente a Terceros
Identificación de terceros a notificar
Clientes
Si sus datos han sido comprometidos o sus servicios interrumpidos durante el incidente.
Socios y proveedores
Si el incidente afecta a operaciones conjuntas, información compartida o la cadena de suministro.
Autoridades regulatorias
Si existen obligaciones legales de notificación (RGPD: 72h, ENS, regulaciones sectoriales…).
Fuerzas de seguridad
Si el incidente involucra actividades criminales o amenazas a la seguridad nacional.
Claves de la comunicación efectiva
- Claridad y concisión – Lenguaje claro, sin jerga técnica innecesaria para el receptor
- Transparencia – Ser honesto sobre lo ocurrido sin minimizar la gravedad real del incidente
- Empatía – Mostrar comprensión y preocupación por el impacto en los afectados
- Acciones a tomar – Proporcionar pasos concretos que los terceros pueden realizar para protegerse
- Momento oportuno – Notificar tan pronto como se disponga de información precisa y verificada
- Documentación – Registrar todas las comunicaciones con fecha, hora, contenido y destinatarios
14Proceso de Cierre del Incidente y Registros Históricos
Criterios de cierre
Erradicación completa verificada
Todas las instancias del malware o intrusión eliminadas. Vulnerabilidades explotadas corregidas con parches.
Sistemas restaurados
Todos los sistemas afectados restaurados y funcionando correctamente. Integridad de datos verificada.
Pruebas de verificación
Pruebas de seguridad confirman ausencia de amenazas y vulnerabilidades en el entorno.
Aprobación del cierre
Aprobación formal del CSIRT o CISO para cerrar oficialmente el incidente en el sistema de tickets.
Registros necesarios para el histórico
- Registro del incidente – Fecha, tipo, sistemas afectados y descripción detallada
- Registros de respuesta – Acciones de contención, erradicación y recuperación con timestamps
- Registros forenses – Resultados del análisis forense y pruebas de seguridad realizadas
- Comunicaciones – Registros de notificaciones a terceros, si procede
- Revisión post-incidente – Lecciones aprendidas, recomendaciones y actualizaciones a documentación
- Cadena de custodia – Quién accedió a la evidencia, cuándo y qué acciones realizó
- Aprobación de cierre – Fecha, hora y nombre del responsable que aprobó el cierre formal
15Conceptos Generales y Objetivos del Análisis Forense
El análisis forense informático es un proceso metódico y científico para investigar incidentes de seguridad, identificar qué ocurrió, cómo ocurrió, quién lo hizo y cuál fue el impacto, preservando la evidencia para posibles procedimientos legales.
Conceptos fundamentales
Evidencia digital
Logs, archivos, tráfico de red, imágenes de disco y otros datos almacenados en dispositivos electrónicos.
Cadena de custodia
Registro estricto de cada paso del proceso: quién accedió a la evidencia, cuándo y qué hizo con ella.
Preservación de evidencia
La evidencia digital es volátil. Se deben usar técnicas para preservarla en su estado original sin modificaciones.
Análisis metódico
Proceso estructurado y documentado que garantiza la objetividad y la reproducibilidad de los resultados.
Objetivos del análisis forense
- Identificación de la causa raíz – Cómo ocurrió el incidente y qué vulnerabilidades fueron explotadas
- Recopilación de evidencia – Para investigaciones internas o procesos legales posteriores
- Evaluación del impacto – Alcance del daño: pérdida de datos, interrupción de servicios, impacto financiero
- Atribución – Identificar a los responsables del incidente si es posible
- Prevención futura – Mejorar políticas y procedimientos de seguridad basándose en los hallazgos
- Cumplimiento normativo – En muchos sectores es obligatorio realizar análisis forense tras un incidente
16El Principio de Locard en la Informática Forense
Aplicación en la informática forense
El atacante siempre deja rastros
Cuando se produce un incidente de seguridad, se generan rastros digitales inevitablemente: logs, archivos temporales, metadatos, conexiones de red registradas.
El atacante también se lleva rastros
El atacante puede llevarse información del sistema comprometido, pero también deja marcas de su paso que pueden usarse para identificarle.
Base teórica de la evidencia forense
Proporciona la justificación científica para buscar y analizar evidencia digital. Permite reconstruir la secuencia de eventos del incidente.
Aplicación legal
La evidencia obtenida aplicando este principio puede ser utilizada en procesos judiciales para identificar y juzgar a los responsables del incidente.
17Guía de Recogida de Evidencias Electrónicas
Orden de volatilidad — Recopilar de mayor a menor
Proceso de recogida
- Preparación. Definir alcance e identificar herramientas y personal necesario. Asegurar que las herramientas forenses estén calibradas y actualizadas.
- Identificación de dispositivos y datos. Inventariar todos los dispositivos relevantes (marca, modelo, serie). Identificar tipos de datos a recopilar y su ubicación.
- Creación de imágenes forenses. Crear copias bit a bit usando herramientas especializadas (FTK Imager, dd). Verificar integridad con hashes criptográficos (MD5, SHA-256).
- Documentación detallada. Documentar cada paso: fecha, hora, ubicación y personal involucrado. Fotografías y vídeos de la escena y dispositivos.
- Preservación y cadena de custodia. Registrar cada transferencia de evidencia. Almacenar en lugar seguro con acceso restringido y etiquetado adecuado.
Herramientas de recogida
18Análisis de Evidencias: Ficheros Ocultos, Metadatos y Recuperación
Entorno de análisis seguro
Trabajar siempre con copias forenses verificadas, nunca con la evidencia original. Usar máquinas virtuales o laboratorios forenses aislados para evitar contaminación o propagación de malware.
Análisis de ficheros y directorios ocultos
Detectar ocultamiento por atributos (oculto, sistema), en espacios no asignados o mediante nombres especiales. Herramientas de bajo nivel para detectar anomalías en el sistema de ficheros.
Análisis de información oculta del sistema
Examinar logs del SO, metadatos de ficheros (creación, modificación, acceso), espacio no asignado, slack space y el Registro de Windows para obtener información sobre la actividad del atacante.
Recuperación de ficheros borrados
Herramientas como Recuva o TestDisk analizan el sistema de ficheros y el espacio no asignado. Incluso fragmentos de ficheros pueden contener información valiosa para el análisis.
Análisis de la línea de tiempo
Reconstruir la secuencia de eventos del atacante correlacionando logs, metadatos y eventos del sistema. Determinar cuándo entró, qué hizo y cuándo salió.
Documentación y informe forense
Documentar cada paso con herramientas utilizadas, hallazgos y conclusiones. El informe debe ser admisible en un tribunal o en una investigación interna.
19Selección de Herramientas de Análisis Forense
La elección de herramientas depende del tipo de evidencia, el alcance de la investigación, las habilidades del analista y el presupuesto disponible.
Criterios de selección
- Tipo de evidencia – ¿Disco duro, RAM, dispositivos móviles, tráfico de red?
- Alcance legal – ¿Investigación interna o caso judicial que requiere admisibilidad legal?
- Habilidades del analista – ¿Requiere GUI o el analista domina herramientas de línea de comandos?
- Capacidad de informes – ¿Los informes generados cumplen con los estándares legales y forenses?
- Integración – ¿Se integra con SIEM, plataformas de inteligencia de amenazas y otras herramientas?
- Prueba antes de usar – Evaluar con versiones de prueba o demostraciones antes de adquirir