Respondiendo: aislar una máquina

La detección sólo importa si conduce a la acción. Esta lección trata sobre los primeros minutos después de que notas algo mal: una aplicación que se conecta a un lugar donde no debería, una Mac que se comporta de manera extraña o una advertencia de alguien en quien confías de que es posible que hayas sido atacado. El objetivo aquí no es solucionar el problema subyacente usted mismo; es para evitar que empeore y conservar lo que necesitará para obtener ayuda real.

Aislar primero, investigar después

La Guía de manejo de incidentes de seguridad informática del NIST (SP 800-61) enmarca la contención como una elección que debe tomarse rápidamente y advierte que “un atacante podría intensificar el acceso no autorizado o comprometer otros sistemas” mientras se retrase la contención. En una Mac, la contención significa cortar su acceso a la red: apagar el Wi-Fi, desconectar un cable Ethernet o activar el modo avión si está disponible, en lugar de seguir usándolo normalmente mientras piensa. Esto no soluciona nada por sí solo, pero detiene una conexión en curso con un atacante y evita que la Mac se use para acceder a cualquier otra cosa, como otro dispositivo en la misma red o una cuenta en la que todavía estás conectado.

• Desconectarse de la red: Wi-Fi apagado, Ethernet desconectado. Esta es la primera acción más útil, ya que corta tanto las instrucciones entrantes como los datos salientes a la vez.
• No apague ni reinicie la Mac a menos que alguien que le ayude se lo indique. El apagado puede perder información en la memoria que de otro modo ayudaría a explicar lo sucedido y puede activar software dañino diseñado para detectar un apagado y cubrir sus huellas.
• No desinstale la aplicación sospechosa, no elimine archivos ni “limpie” antes de obtener ayuda. Es tentador, pero destruye la evidencia que alguien necesitaría para comprender lo sucedido.
• Si la Mac se usa para trabajar, o el incidente podría involucrar datos de otra persona, infórmeselo a quien sea responsable (el contacto de seguridad o de TI de un empleador, el líder de seguridad de una organización) inmediatamente, en lugar de después de haberlo investigado usted mismo.

Preservando lo que puedas, brevemente

La guía del NIST recomienda documentar “cada paso dado desde el momento en que se detectó el incidente hasta su resolución final”, con una marca de tiempo, idealmente por alguien que no sea la persona que realiza el trabajo técnico. En una Mac, sin un equipo formal, esto puede ser sencillo: escribir o fotografiar lo que viste y cuándo (la aplicación, el destino, la hora), anotar todo lo que cambiaste (¿desconectaste la red? ¿cerraste una aplicación?) y conserva las capturas de pantalla que ya tomaste. Este es exactamente el tipo de detalle que las herramientas de la lección anterior, como un registro de conexión por aplicación, son útiles para capturar antes de desconectarse.

Obteniendo ayuda

A quién contactar depende de quién es usted y de lo que está en juego. Para la mayoría de las personas, esto comienza con quien administra el dispositivo, si no es personal (un empleador, el departamento de TI de una organización), o una persona confiable y técnicamente capaz, si lo es. Para periodistas, activistas, defensores de derechos humanos y otras personas que puedan ser perseguidos por su trabajo, dos organizaciones ofrecen específicamente este tipo de apoyo sin costo alguno:

• La línea de ayuda de seguridad digital de Access Now ofrece ayuda de respuesta rápida, en varios idiomas, para grupos de la sociedad civil e individuos que creen que están en riesgo o que ya están bajo ataque, después de un proceso de investigación para confirmar que están dentro de su mandato.
• Freedom of the Press Foundation ofrece capacitación en seguridad digital y asesoramiento personalizado para periodistas y redacciones, incluida orientación sobre seguridad de dispositivos y protección de fuentes.

Ni la organización ni esta lección pueden prometer que cualquier conjunto de pasos haga que la persona objetivo esté segura; El objetivo honesto es reducir el riesgo e involucrar rápidamente a una persona con conocimientos, no eliminarlo.