Blue Team / Arsenal Defensivo
05 DFIR · Respuesta
Respuesta a incidentes (plataformas)
Cuando salta un incidente de verdad, improvisar cuesta caro. Las plataformas de IR te dan casos, colaboración, automatización y análisis forense en vivo a escala. Aquí conoces TheHive, Velociraptor, GRR y cómo encaja el ciclo NIST con herramientas reales.
🔄El ciclo (NIST) y dónde encaja cada tool
1
Preparación
playbooks, TheHive montado, agentes de Velociraptor desplegados.
2
Detección y análisis
la alerta del SIEM/EDR crea un CASO en TheHive; analizas con Cortex.
3
Contención
aísla el host desde el EDR/Velociraptor; corta la IP en el firewall.
4
Erradicación
elimina persistencia (cron, servicios, claves run), rota credenciales.
5
Recuperación
restaura, vigila reinfección.
6
Lecciones
post-mortem: qué falló en la detección y cómo cerrarlo.
📊Quién es quién
| TheHive + Cortex | gestión colaborativa de casos + 100+ analizadores automáticos de observables. El estándar open-source. |
| Velociraptor | caza y DFIR en vivo a escala con VQL: recolecta artefactos de miles de endpoints. |
| GRR Rapid Response | forense remoto en vivo de Google, pensado para flotas grandes. |
| MozDef / Cyphon | automatización de respuesta y orquestación de alertas (estilo SOAR ligero). |
| Shuffle / TheHive+n8n | SOAR open-source: automatiza playbooks (enriquecer, aislar, notificar). |
🔧Lab: DFIR en vivo con Velociraptor
1
velociraptor gui
levanta el servidor + GUI local para probar sin desplegar nada.
2
Lanza un 'hunt' con un artefacto
p.ej. Windows.Persistence.* o Linux.Sys.BashHistory sobre tus clientes.
3
Recolecta y revisa
trae ficheros, claves de registro, procesos de cientos de equipos en minutos.
4
Exporta IOCs y ciérralos
lo que encuentres (hash, ruta, clave) lo buscas en el resto de la flota.
Sin flota propia: practica el método con el Caso SOC-LIVE de la academia (entras al host comprometido y haces el DFIR a mano) antes de automatizarlo.
⚠Fallos típicos y solución
Romper la evidencia al contener
si apagas la máquina pierdes la RAM y procesos vivos. Captura memoria/artefactos ANTES de aislar.
No preservar cadena de custodia
hashea (sha256) cada evidencia al recogerla y registra quién/cuándo. Sin eso, no vale en un juicio.
Contención a medias
si cortas una IP pero dejas la persistencia, vuelven en 10 min. Erradica TODO el acceso a la vez.
TheHive/Cortex sin analizadores
configura las API keys (VirusTotal, abuse, etc.) o los observables no se enriquecen solos.
💡Trucos
- Ten playbooks escritos por tipo de incidente (ransomware, phishing, cuenta comprometida) ANTES de necesitarlos.
- Automatiza lo repetitivo con SOAR (enriquecer IP, abrir ticket, notificar) y deja el criterio al humano.
- El post-mortem sin culpables (blameless) es lo que hace mejorar al equipo.
🎯🎯 Lab puntuable: perita un host comprometido EN VIVO
Lab pesado descargable (Docker Compose): entras al host con docker-compose exec y lo peritas: cuentas con UID 0 ocultas, persistencia por cron y lo que dejó el intruso. 1 reto, 60 puntos. (Necesitas Docker + Docker Compose.)
⬇ Descargar el pack ▶ Ir al reto · categoría “Arsenal · DFIR”
⚑ Recuerda enviar la flag. Cuando saques la FLAG, envíala en su reto para que cuente en tu progreso y en el marcador. Si no la envías, no puntúa.
Ir a los retos🔎 No memorices comandos. Ten el Arsenal abierto en otra pestaña y busca ahí el comando exacto cuando lo necesites. Entiende el POR QUÉ aquí; el COMANDO lo copias del Arsenal.
Abrir Arsenal