OpenCyber AcademySecuestro de ruta de dominio
El dominio público de una organización alterna entre la dirección normal y otra desconocida; las donaciones siguen accesibles para algunos usuarios.
Escenario ficticio para estudiar; no describe personas ni sistemas reales.
Límite de seguridad y autoridad
Trate las donaciones afectadas y la posible suplantación como incertidumbre hasta revisar registros y datos del proveedor de pagos.
Preparación
GV · ID · PREl dominio público de una organización alterna entre la dirección normal y otra desconocida; las donaciones siguen accesibles para algunos usuarios.
Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.
Mostrar la respuesta desarrollada de los equipos
| Equipo | Qué hizo | Cómo lo hizo | Por qué lo hizo |
|---|---|---|---|
| Beacon Equipo de evidencias | Preparó la ruta de evidencia | Nombró fuentes de solo lectura y responsables para: Los registros DNS autoritativos difieren del historial aprobado; el acceso al registrador muestra una sesión nueva. | La primera alerta necesita origen y hora verificables. |
| Cedar Equipo de servicio | Ensayó la continuidad segura | Probó de forma aislada una versión de: Restaure la zona aprobada, rote el acceso al registrador y coordine la propagación de caché con el proveedor DNS. | Una recuperación precipitada puede agravar el impacto. |
| Dawn Equipo de decisiones | Definió autoridad y escalamiento | Asignó responsables y condiciones de aprobación para: Trate las donaciones afectadas y la posible suplantación como incertidumbre hasta revisar registros y datos del proveedor de pagos. | Seguridad, privacidad y comunicación requieren decisiones responsables. |
Detección y análisis
DELos registros DNS autoritativos difieren del historial aprobado; el acceso al registrador muestra una sesión nueva.
Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.
Mostrar la respuesta desarrollada de los equipos
| Equipo | Qué hizo | Cómo lo hizo | Por qué lo hizo |
|---|---|---|---|
| Beacon Equipo de evidencias | Evaluó la señal | Conservó origen, hora UTC y comprobación independiente de: Los registros DNS autoritativos difieren del historial aprobado; el acceso al registrador muestra una sesión nueva. | Una alerta es una pista, no prueba de causa o alcance. |
| Cedar Equipo de servicio | Midió el impacto en usuarios | Comparó el servicio real con la línea base: El dominio público de una organización alterna entre la dirección normal y otra desconocida; las donaciones siguen accesibles para algunos usuarios. | Las alertas técnicas solas no demuestran impacto operativo. |
| Dawn Equipo de decisiones | Abrió un caso delimitado | Registró hechos confirmados, incógnitas, responsable y próxima revisión. | Los equipos se coordinan sin exagerar la evidencia. |
Respuesta y contención
RSTrate las donaciones afectadas y la posible suplantación como incertidumbre hasta revisar registros y datos del proveedor de pagos.
Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.
Mostrar la respuesta desarrollada de los equipos
| Equipo | Qué hizo | Cómo lo hizo | Por qué lo hizo |
|---|---|---|---|
| Beacon Equipo de evidencias | Conservó y delimitó evidencia | Guardó los registros originales y definió una ruta limitada para: Congele los cambios del registrador con el responsable, conserve el historial de zona y sustituya los registros no autorizados mediante el proceso controlado. | La contención no debe destruir la base de la revisión posterior. |
| Cedar Equipo de servicio | Aplicó el control aprobado | Ejecutó: Congele los cambios del registrador con el responsable, conserve el historial de zona y sustituya los registros no autorizados mediante el proceso controlado. | Un cambio reversible y aprobado reduce daños sin ampliar el alcance. |
| Dawn Equipo de decisiones | Autorizó y comunicó | Registró aprobador, personas afectadas y límite: Trate las donaciones afectadas y la posible suplantación como incertidumbre hasta revisar registros y datos del proveedor de pagos. | Las acciones exigen autoridad clara y aviso proporcional. |
Recuperación
RCRestaure la zona aprobada, rote el acceso al registrador y coordine la propagación de caché con el proveedor DNS.
Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.
Mostrar la respuesta desarrollada de los equipos
| Equipo | Qué hizo | Cómo lo hizo | Por qué lo hizo |
|---|---|---|---|
| Beacon Equipo de evidencias | Comprobó la persistencia | Comparó nueva telemetría con: Los servidores autoritativos y resolutores recursivos muestreados devuelven el destino aprobado; se prueba el pago de forma independiente. | Un servicio aparentemente sano todavía puede estar comprometido. |
| Cedar Equipo de servicio | Restauró por etapas | Ejecutó: Restaure la zona aprobada, rote el acceso al registrador y coordine la propagación de caché con el proveedor DNS. | El retorno gradual prueba dependencias antes de ampliar el acceso. |
| Dawn Equipo de decisiones | Aceptó el resultado operativo | Pidió aprobación del responsable solo después de: Los servidores autoritativos y resolutores recursivos muestreados devuelven el destino aprobado; se prueba el pago de forma independiente. | Recuperar es una decisión de servicio, no solo un panel verde. |
Mejora
ID.IMAñada MFA en el registrador, doble aprobación de cambios de zona y vigilancia externa de cambios DNS.
Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.
Mostrar la respuesta desarrollada de los equipos
| Equipo | Qué hizo | Cómo lo hizo | Por qué lo hizo |
|---|---|---|---|
| Beacon Equipo de evidencias | Convirtió incertidumbre en prueba | Documentó la laguna de evidencia y propuso: Añada MFA en el registrador, doble aprobación de cambios de zona y vigilancia externa de cambios DNS. | Una lección requiere una comprobación futura medible. |
| Cedar Equipo de servicio | Ensayó el control modificado | Asignó responsable y fecha para probar: Añada MFA en el registrador, doble aprobación de cambios de zona y vigilancia externa de cambios DNS. | Una tarea no probada no es una mejora verificada. |
| Dawn Equipo de decisiones | Cerró el registro de decisiones | Aprobó recursos, siguió al responsable y comprobó el nuevo control. | El aprendizaje debe alimentar Gobernar, Identificar y Proteger. |
Criterio de aceptación de la recuperación
Los servidores autoritativos y resolutores recursivos muestreados devuelven el destino aprobado; se prueba el pago de forma independiente.
Mejora que debe verificarse
Añada MFA en el registrador, doble aprobación de cambios de zona y vigilancia externa de cambios DNS.