Escenario 04 / 10 · NIST SP 800-61 REV. 3

Actualización comprometida del proveedor

Una actualización firmada del proveedor llega a varios equipos antes de que el proveedor avise de un posible compromiso de la compilación.

Escenario ficticio para estudiar; no describe personas ni sistemas reales.

Límite de seguridad y autoridad

No suponga que una firma válida demuestra seguridad; separe la instalación confirmada del comportamiento malicioso sospechado.

01 / 05

Preparación

GV · ID · PR

Una actualización firmada del proveedor llega a varios equipos antes de que el proveedor avise de un posible compromiso de la compilación.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Juniper Equipo de evidencias	Preparó la ruta de evidencia	Nombró fuentes de solo lectura y responsables para: El comportamiento de los equipos cambia tras la instalación, pero el aviso preliminar aún no enumera todas las versiones afectadas.	La primera alerta necesita origen y hora verificables.
Kestrel Equipo de servicio	Ensayó la continuidad segura	Probó de forma aislada una versión de: Vuelva a desplegar una versión anterior verificada mediante una reversión aprobada tras probar dependencias de negocio.	Una recuperación precipitada puede agravar el impacto.
Lumen Equipo de decisiones	Definió autoridad y escalamiento	Asignó responsables y condiciones de aprobación para: No suponga que una firma válida demuestra seguridad; separe la instalación confirmada del comportamiento malicioso sospechado.	Seguridad, privacidad y comunicación requieren decisiones responsables.

02 / 05

Detección y análisis

El comportamiento de los equipos cambia tras la instalación, pero el aviso preliminar aún no enumera todas las versiones afectadas.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Juniper Equipo de evidencias	Evaluó la señal	Conservó origen, hora UTC y comprobación independiente de: El comportamiento de los equipos cambia tras la instalación, pero el aviso preliminar aún no enumera todas las versiones afectadas.	Una alerta es una pista, no prueba de causa o alcance.
Kestrel Equipo de servicio	Midió el impacto en usuarios	Comparó el servicio real con la línea base: Una actualización firmada del proveedor llega a varios equipos antes de que el proveedor avise de un posible compromiso de la compilación.	Las alertas técnicas solas no demuestran impacto operativo.
Lumen Equipo de decisiones	Abrió un caso delimitado	Registró hechos confirmados, incógnitas, responsable y próxima revisión.	Los equipos se coordinan sin exagerar la evidencia.

03 / 05

Respuesta y contención

No suponga que una firma válida demuestra seguridad; separe la instalación confirmada del comportamiento malicioso sospechado.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Juniper Equipo de evidencias	Conservó y delimitó evidencia	Guardó los registros originales y definió una ruta limitada para: Detenga el despliegue, conserve hashes y registros de instalación y aísle equipos solo donde haya evidencia de impacto.	La contención no debe destruir la base de la revisión posterior.
Kestrel Equipo de servicio	Aplicó el control aprobado	Ejecutó: Detenga el despliegue, conserve hashes y registros de instalación y aísle equipos solo donde haya evidencia de impacto.	Un cambio reversible y aprobado reduce daños sin ampliar el alcance.
Lumen Equipo de decisiones	Autorizó y comunicó	Registró aprobador, personas afectadas y límite: No suponga que una firma válida demuestra seguridad; separe la instalación confirmada del comportamiento malicioso sospechado.	Las acciones exigen autoridad clara y aviso proporcional.

04 / 05

Recuperación

Vuelva a desplegar una versión anterior verificada mediante una reversión aprobada tras probar dependencias de negocio.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Juniper Equipo de evidencias	Comprobó la persistencia	Comparó nueva telemetría con: Está presente el hash de una versión no afectada, los procesos esenciales funcionan y la supervisión no detecta recurrencia.	Un servicio aparentemente sano todavía puede estar comprometido.
Kestrel Equipo de servicio	Restauró por etapas	Ejecutó: Vuelva a desplegar una versión anterior verificada mediante una reversión aprobada tras probar dependencias de negocio.	El retorno gradual prueba dependencias antes de ampliar el acceso.
Lumen Equipo de decisiones	Aceptó el resultado operativo	Pidió aprobación del responsable solo después de: Está presente el hash de una versión no afectada, los procesos esenciales funcionan y la supervisión no detecta recurrencia.	Recuperar es una decisión de servicio, no solo un panel verde.

05 / 05

Mejora

ID.IM

Exija despliegues escalonados, contacto con el proveedor, procedencia del artefacto firmado y ensayos de reversión.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Juniper Equipo de evidencias	Convirtió incertidumbre en prueba	Documentó la laguna de evidencia y propuso: Exija despliegues escalonados, contacto con el proveedor, procedencia del artefacto firmado y ensayos de reversión.	Una lección requiere una comprobación futura medible.
Kestrel Equipo de servicio	Ensayó el control modificado	Asignó responsable y fecha para probar: Exija despliegues escalonados, contacto con el proveedor, procedencia del artefacto firmado y ensayos de reversión.	Una tarea no probada no es una mejora verificada.
Lumen Equipo de decisiones	Cerró el registro de decisiones	Aprobó recursos, siguió al responsable y comprobó el nuevo control.	El aprendizaje debe alimentar Gobernar, Identificar y Proteger.

Criterio de aceptación de la recuperación

Está presente el hash de una versión no afectada, los procesos esenciales funcionan y la supervisión no detecta recurrencia.

Mejora que debe verificarse

Exija despliegues escalonados, contacto con el proveedor, procedencia del artefacto firmado y ensayos de reversión.