LecturaBienvenida al curso
Bienvenido a Respuesta a incidentes: fundamentos. La primera hora de un incidente suele ser la peor administrada: alguien apaga el servidor, otro restaura un respaldo encima de la evidencia y el gerente se entera por un cliente. Este curso le da un orden para esa hora y las semanas que siguen: reconocer el incidente, medir su gravedad, frenar el daño sin borrar evidencia, recuperar y contar qué pasó.
Qué va a lograr
- Distinguir un evento, una alerta y un incidente, y explicar el ciclo de respuesta de NIST SP 800-61.
- Organizar roles y canales de comunicación antes de que haga falta, para no improvisarlos durante la crisis.
- Hacer el triaje de un caso, asignarle una severidad y construir su línea de tiempo con horas normalizadas.
- Contener un incidente, incluido un ransomware, sin romper la evidencia ni su cadena de custodia.
- Reconocer las obligaciones generales en Costa Rica: Ley 8968, PRODHAB, CSIRT-CR y OIJ.
- Escribir un playbook, redactar informes ejecutivo y técnico y conducir un ejercicio de mesa.
Para quién es y qué necesita
Para analistas que empiezan en un SOC, para quien atiende los incidentes de una pyme "porque alguien tiene que hacerlo" y para responsables de seguridad que necesitan poner orden. Conviene haber hecho Introducción al SOC: su primer turno como analista, pero no es obligatorio: los conceptos se explican desde el inicio.
Para practicar necesita:
- Un navegador y un editor de texto o una hoja de cálculo. No se instala nada.
- Una libreta para la bitácora del ejercicio de mesa y, si puede, dos o tres personas que asuman roles.
Cómo está organizado
| Módulo | Qué aprende | Laboratorio |
|---|---|---|
| 1. Qué es un incidente y el ciclo de respuesta | Evento, alerta e incidente; historia de la disciplina; ciclo NIST; roles, RACI y canal fuera de banda | Clasificar ocho reportes: ¿evento o incidente? |
| 2. Detección y triaje | EDR, SIEM y usuarios como fuentes; severidad SEV1 a SEV4; horas en UTC; eventos de Windows | Construir la línea de tiempo de una exfiltración |
| 3. Contención y recuperación | Aislar sin apagar, orden de volatilidad, hash y cadena de custodia; ransomware y respaldos; Ley 8968 | Plan de contención ante ransomware |
| 4. Playbooks y post-incidente | Plan, playbook y runbook; informes; lecciones aprendidas y métricas; conclusión | Playbook de phishing y ejercicio de mesa |
| Evaluación | 6 preguntas sobre todo el curso | Aprueba con 70 % |
Cómo aprovecharlo
Todo el curso ocurre en Cafetal Digital S.A., una distribuidora ficticia; cada concepto se define cuando aparece y se aplica ahí. Casi todas las lecciones cierran con una pregunta corta.
Los cinco laboratorios traen la solución al final, en un recuadro. Intente primero sin mirarla y escriba para su jefatura: horas, fuentes y una justificación por decisión. En los incidentes que terminan mal casi siempre falta lo mismo: alguien hizo algo razonable, no lo anotó, y una semana después nadie sabe por qué se reinició el servidor a las 3:10.
Si consigue dos o tres personas para el ejercicio de mesa del módulo 4, hágalo con ellas: discutir quién llama al proveedor enseña lo que la lectura no.
Al aprobar la evaluación final recibe el certificado y la insignia del curso.
Tiempo estimado
El curso completo toma unas 5 horas. Un ritmo razonable es una lección por sesión y un bloque de 30 a 45 minutos sin interrupciones para cada laboratorio.