Qué decidir antes de desconectar un equipo sospechoso de la red
Ante indicios de actividad maliciosa, decide cómo aislar el equipo y qué servicio depende de él sin demorar una contención urgente.
Equipo enginerIT· 2 min de lectura
Ante indicios de actividad maliciosa, decide cómo aislar el equipo y qué servicio depende de él sin demorar una contención urgente. Desconectar de la red y apagar son acciones distintas. El aislamiento puede frenar propagación; el apagado además pierde información volátil que podría ser útil para investigar.
Valora qué daño puede seguir ocurriendo
Pregunta si hay cifrado en curso, conexiones sospechosas o acceso a recursos compartidos. Identifica el equipo con certeza y avisa al coordinador de respuesta. Si existe riesgo inmediato, aplica la ruta de contención aprobada sin esperar un diagnóstico completo. En entornos industriales o equipos que controlan procesos físicos, incluye al responsable operativo: una desconexión improvisada puede afectar a personas o instalaciones.
Elige una forma de aislamiento que puedas comprobar
El responsable técnico debe valorar aislamiento desde la herramienta de seguridad, restricción de red o retirada de conexiones físicas e inalámbricas. Revisa las interfaces realmente utilizadas: quitar un cable no elimina una conexión Wi-Fi o móvil. No des por ejecutada una orden remota solo porque aparece enviada. Pide confirmación del estado y registra qué comunicaciones de gestión conserva, si la solución las permite.
Preserva lo posible sin prolongar el ataque
NIST SP 800-61r3 contempla contener y preservar evidencias dentro de una respuesta coordinada. La captura de memoria o adquisición forense requiere personal y medios adecuados; no encargues al usuario instalar utilidades al azar en el equipo sospechoso. Si apagar es la única forma viable de detener daño inmediato, registra el motivo y la pérdida potencial de indicios. La necesidad de preservar no obliga a mantener una propagación activa.
Prepara la continuidad y la vuelta
Anota usuario, activo, hora, conexiones cortadas y servicios afectados. Informa de cómo seguirá la tarea del negocio sin copiar archivos sospechosos a otro ordenador. Define quién puede autorizar reconectar y qué comprobaciones exigirá. En un ejemplo hipotético, un puesto de facturación aislado puede sustituirse por uno preparado, pero sus documentos recientes necesitan revisión antes de trasladarse. Ensaya el aislamiento sobre un equipo de prueba para confirmar tanto el corte efectivo como la ruta de soporte posterior.
Comprobaciones para cerrar la tarea
- ✓ Se ha identificado el activo correcto y su dependencia operativa.
- ✓ El aislamiento cubre las conexiones activas y tiene confirmación.
- ✓ Constan autorización, hora y criterio para volver a conectar.
Fuentes y documentación
- NIST · SP 800-61 Rev. 3 — Preparación, análisis, registro y coordinación de la respuesta; procedimiento operativo adaptado a una pyme.
Aplicarlo en tu empresa
Podemos revisar el entorno y acordar qué actuaciones, validaciones y mantenimiento necesitas.
Conocer el servicio relacionado →