La primera hora tras un incidente

Una guía sobre qué funciones de RoamSwitch usar, y en qué orden, durante la primera hora después de que detecte una amenaza grave y la contenga.

1. Acerca de esta página

Cuando RoamSwitch detecta una amenaza grave, la contiene automáticamente, por ejemplo aislando la red (Air-Gap) o congelando un proceso. Esta página expone, para cada entorno, qué comprobar, qué conservar y cuándo liberar la contención. Para los detalles de cada pantalla y operación, consulte los manuales correspondientes.

Esta página explica cómo usar las funciones de RoamSwitch. No trata la comunicación de su organización, la respuesta legal ni la planificación de la recuperación.

2. El mismo orden en cualquier entorno

Una contención se activa por una razón. Antes de liberarla con prisa, siga estos pasos en orden.

1. Comprobar. Vea en una línea de tiempo qué se detectó, cuándo y en qué orden.
2. Conservar. Exporte los registros y las pruebas antes de liberar nada o reiniciar. La información sobre el estado en ejecución puede perderse después.
3. Decidir. Decida si fue una operación que reconoce o una actividad realmente sospechosa.
4. Liberar. Libere la contención solo después de confirmar que es seguro.
5. Vigilar. Tras liberarla, siga vigilando un tiempo para ver si vuelve a aparecer la misma detección.

Para investigar a partir de los registros, también puede usar PersonalSOC y AccessScope (sección 6).

Si le aislaron por una suplantación ARP, lea también la sección 8.

Si la causa es ransomware en la edición de escritorio de Linux, lea también la sección 9.

Mientras un equipo está aislado, no puede abrir esta página. En Mac, la ventana «Por qué está aislado y cómo liberarlo…» muestra un código QR de esta página; en la edición de escritorio de Linux, lo muestra la ventana de confirmación para levantar el aislamiento. Escanéelo con un móvil que use su propia conexión para leer esta página. El código QR solo contiene la dirección pública de esta página.

3. Mac

1. Abra el icono 🛡️ de la barra de menús y compruebe si se muestra «🔒 Aislado (total)» o «🔒 Aislado (degradado)».
2. Abra «ℹ️ Por qué está aislado y cómo liberarlo…» y lea el motivo por el que se activó.
3. Abra 🛡️ → Diagnóstico de seguridad completo del Mac → «📈 Registro de actividad de seguridad…». Acote el período y filtre por gravedad y categoría para ver, en una línea de tiempo, qué se detectó justo antes. Al hacer clic en una barra del gráfico, la lista se limita a ese tramo horario.
4. Con Pro, puede exportar los resultados filtrados a CSV y conservarlos.
5. Si activó antes «🧾 Registro de ejecución de procesos…» (Pro), el historial de los procesos iniciados está disponible para la investigación. Está desactivado de forma predeterminada.
6. Cuando la detección de ransomware o de XProtect activa un aislamiento, se guardan automáticamente las pruebas justo antes. Contienen la lista de procesos en ejecución, las conexiones de red y la lista de archivos modificados recientemente, con un SHA-256 por archivo. Se guardan en ~/Library/Application Support/RoamSwitch/incident-evidence/. La captura de paquetes no está disponible en Mac.
7. Piense si hizo algo que pueda explicarlo, como iniciar una aplicación sospechosa.
8. En el mismo menú, elija «🔓 Liberar el aislamiento Air-Gap» y, en el cuadro de diálogo de confirmación, «Liberar». La comunicación se restablece de inmediato.

Si el incidente fue de ransomware, abra 🛡️ → Protección contra malware (XProtect & ClamAV) → «🗂 Recuperación de ransomware…» (Pro). Desde las instantáneas locales de APFS que RoamSwitch toma periódicamente, puede sacar archivos a otro lugar (~/RoamSwitch-Recovered/<ID>/). Sus archivos actuales no se sobrescriben. Para sacarlos hace falta el acceso total al disco.

4. Versión de escritorio de Linux

1. Abra el icono 🛡️ de la bandeja del sistema. Si la red se ha aislado por una amenaza grave, se muestra «🚨 Liberar el Air-Gap y restablecer la red». Todavía no lo pulse.
2. En la ventana principal, abra «Notifications» para ver el historial de notificaciones de los últimos 7 días y comprobar qué se notificó.
3. En «Incident Timeline» (una función experimental), siga en una línea de tiempo el flujo desde la detección hasta la liberación, pasando por la respuesta.
4. En «Security Activity Log», combine período, categoría, gravedad y palabra clave para filtrar e investigar qué ocurrió justo antes. El contenido de Incident Timeline y de Notifications está reunido en una sola vista.
5. Piense si hizo algo que pueda explicarlo. Cuando haya confirmado que es seguro, pulse «🚨 Liberar el Air-Gap y restablecer la red» en la bandeja.

5. Linux Server Edition

Server Edition se maneja desde la línea de comandos. Los comandos descritos aquí también funcionan en la edición de escritorio de Linux (solo sudo roamswitch server ack es exclusivo de la Server Edition). Un aislamiento de alta confianza (manipulación del canario, reescritura masiva similar a ransomware, eBPF Critical / Emergency / Alert, etc.) pasa de forma predeterminada al modo degradado (DEGRADED) tras 3600 segundos (una hora) si no ha habido ni confirmación (ack) ni comprobación de que la causa ha desaparecido. En el modo degradado, las conexiones nuevas, salvo los puertos SSH de mantenimiento y las rutas de administración de las IP permitidas, siguen bloqueadas y no se abren por sí solas con el paso del tiempo.

5.1 Comprobar las notificaciones

Si configuró Telegram, LINE o un webhook, la notificación ya ha llegado allí. Aunque no lo haya configurado, las notificaciones de la última semana se conservan localmente.

roamswitch notifications

5.2 Ver el estado del aislamiento

Muestra el estado de aislamiento actual del guardián de ejecución eBPF y el historial de incidentes detectados.

roamswitch server ebpf

5.3 Comprobar los procesos congelados

Lista los procesos que el guardián ha congelado con SIGSTOP. No los reanude hasta haber conservado las pruebas.

roamswitch frozen list

5.4 Conservar las pruebas

Cuando el guardián de ejecución eBPF contiene un proceso, se crea automáticamente un paquete de pruebas. Incluye unos 30 segundos de captura de paquetes y, si se conoce el PID, una instantánea de /proc/<pid> (si no está instalado tshark, solo se omite la captura de paquetes). Se guarda en /var/lib/roamswitch/incident-evidence/<marca de tiempo>-<ID>/.

Cuando se aísla todo el host, por ahora no se crea automáticamente. En ese caso, o si quiere conservar el estado previo a la contención, créelo manualmente.

sudo roamswitch-incident-capture snapshot --pid <PID> --reason "first-response"

5.5 Exportar la línea de tiempo y el registro de ejecución

Exporte la línea de tiempo integrada de incidentes (experimental) como JSON Lines. El registrador de ejecución permite buscar por período o por proceso.

roamswitch timeline --export incident.jsonl
sudo roamswitch events search --since 2h

5.6 Decidir y liberar

Reanude con el comando siguiente un proceso congelado por un falso positivo (resume all los reanuda todos).

roamswitch frozen resume <PID>

Para permitir de forma permanente el mismo falso positivo, añádalo a la lista de permitidos. Con --exe, la entrada queda vinculada a la ruta del ejecutable, de modo que cambiar el nombre de un proceso no la elude.

sudo roamswitch server allowlist add <rule> <process> --exe <path>

Confirme el aislamiento. Durante un aislamiento FULL, la confirmación mantiene el aislamiento estricto (se considera que el operador se ha hecho cargo, lo que detiene el paso al modo degradado y cualquier liberación automática). Durante el modo degradado, la confirmación significa liberar.

sudo roamswitch server ack

5.7 Si le han dejado fuera

Inicie sesión desde la consola web de administración del proveedor de nube (VNC o consola serie) y libere el aislamiento de emergencia. De forma predeterminada, los puertos SSH de mantenimiento y las sesiones de administración de la IP de administración se conservan durante el aislamiento.

sudo roamswitch emergency-restore

5.8 Ordenar después

Los paquetes de pruebas no se eliminan automáticamente. Elimine con el comando siguiente los que superen el período de retención (30 días de forma predeterminada).

sudo roamswitch-incident-capture prune --keep-days 30

6. Investigar a partir de los registros (PersonalSOC y AccessScope)

RoamSwitch incluye dos herramientas independientes para leer registros: PersonalSOC y AccessScope. Ambas son de solo lectura: no cambian ningún ajuste ni bloquean tráfico. El análisis no usa la red y se ejecuta por completo en este equipo, por lo que funciona también durante el aislamiento.

6.1 PersonalSOC: reunir los registros y las detecciones de este equipo en un informe

Lee los registros de autenticación de este equipo (sudo y sshd en Mac; auth.log, auditd, nginx, apache y otros en Linux) y las detecciones sin resolver de RoamSwitch, y reúne una estimación del riesgo, una línea de tiempo y los IOC (IP, dominios, URL, hashes) en un solo informe.

sudo personalsoc scan --report

6.2 AccessScope: encontrar ataques en los registros de acceso

A partir de los registros de acceso del servidor web, de SSH y de otros, muestra intentos de fuerza bruta, web shells, cadenas de pasos de ataque e inicios de sesión correctos desde un origen inusual, cada uno con los números de línea como prueba y un nivel de confianza (confirmado, probable, hipótesis). Nunca declara por sí mismo que haya un compromiso.

sudo accessscope scan --auto --since 24h --report report.md

6.3 En qué paso usarlas

• Confirmar y decidir: con las dos herramientas anteriores, vea con pruebas qué ocurrió antes y después de la detección. Saber si el ataque continúa y si pudo tener éxito ayuda a decidir si se puede levantar el aislamiento.
• Vigilar: tras la liberación, ejecute AccessScope repetidamente con el comando siguiente; muestra solo los hallazgos que no estaban en la ejecución anterior.

sudo accessscope scan --auto --since 24h --since-last --new-only

7. Después

Tras liberar, siga vigilando un tiempo la línea de tiempo (en Mac, el registro de actividad de seguridad) para ver si vuelve la misma detección. Conserve los registros exportados y los paquetes de pruebas; no los elimine.

Las medidas ajenas a RoamSwitch, como cambiar contraseñas o claves y contactar con las partes implicadas, quedan fuera del alcance de esta página.

8. Cuando le aíslan por una suplantación ARP

En una Wi-Fi pública u otras redes similares, un atacante de la misma red puede hacerse pasar por el router e intentar leer su tráfico. Es la suplantación ARP. RoamSwitch la detecta, por ejemplo, por un cambio repentino en la dirección MAC de la puerta de enlace (el router). El Mac y la edición de escritorio de Linux funcionan igual.

1. Cuándo aísla. En una red no registrada (nivel de protección: bloqueo), aísla automáticamente cuando detecta una anomalía relacionada con la puerta de enlace. En un lugar registrado (casa, trabajo, etc.) no aísla automáticamente. Muestra una advertencia y solo aísla si elige «Bloquear todo ahora».
2. Qué comprobar antes de levantarlo. La ventana de confirmación de la app da consejos similares. ¿Está otro dispositivo de la misma red falsificando ARP? ¿Coincide la dirección MAC de la puerta de enlace con la de confianza (la ventana de confirmación de Linux muestra el valor actual y el de confianza)? En una Wi-Fi pública, es más seguro pasar a otra conexión, como el anclaje de red, antes de levantarlo.
3. Levantamiento automático. Un temporizador por sí solo no lo levanta. Cuando la dirección MAC de la puerta de enlace coincide con el valor de confianza en 3 comprobaciones seguidas, repartidas en al menos 60 segundos, se levanta automáticamente y se le avisa. Si no se puede confirmar durante 1 hora (por defecto), pasa a un estado muy restringido (degradado). Ese estado no se abre por tiempo; lo levanta usted a mano.
4. Levantarlo a mano. En Mac, use «Levantar el aislamiento Air-Gap» en el menú. En la edición de escritorio de Linux, use «Levantar Air-Gap y restaurar la red» en la bandeja, o sudo roamswitch emergency-restore. Si la causa sigue ahí cuando lo levanta, el tráfico se reanuda y vuelve a estar expuesto, así que compruebe primero.
5. Después de levantarlo. Observe durante un tiempo si vuelve a aparecer la misma detección. Si aparece, deje de usar esa red y cambie a otra conexión.

9. Cuando le aíslan por ransomware (edición de escritorio de Linux)

Cuando se reescriben muchos archivos en poco tiempo, RoamSwitch lo considera posible ransomware: congela el proceso que reescribe (SIGSTOP) y corta la red (Air-Gap). Se abre la ventana de confirmación del Air-Gap y muestra el motivo, el proceso y cuántos archivos se reescribieron. Esta sección es para la edición de escritorio de Linux. En Mac, lea la sección 3.

1. Compruebe. En la ventana de confirmación y en el historial de notificaciones, vea qué proceso reescribió qué archivos. También puede ver los procesos congelados con roamswitch frozen list (5.3).
2. Registre. Antes de levantar el aislamiento o reiniciar, guarde las pruebas y la cronología como en 5.4 y 5.5.
3. Decida. Si el proceso congelado era una operación que reconoce (una copia de seguridad o una compresión, por ejemplo), es un falso positivo. Reanúdelo con sudo roamswitch frozen resume <PID>. Si es un ataque real, no lo reanude: registre las pruebas y luego termine el proceso.
4. Recupere los archivos. Los archivos reescritos se pueden sacar de una instantánea. En pantalla, en la pestaña «Recuperación de ransomware» de la barra lateral (Linux 1.11.21 y posteriores), elija la instantánea previa al daño recomendada (★) y pulse «Sacar archivos» o «Sacar una carpeta». Por comando, ejecute sudo roamswitch-ransomware-rollback list y luego sudo roamswitch-ransomware-rollback restore-files <ID> <PATH>. El destino es un subvolumen btrfs o un volumen lógico LVM (un home en ext4 no puede usarlo). Por defecto, se toma automáticamente una instantánea previa al daño cada 6 horas. También se toma automáticamente una instantánea en el momento de la detección, pero contiene los archivos cifrados, así que no sirve para volver a antes del cifrado. Sus archivos actuales no se sobrescriben. Los archivos restaurados van por defecto a <destino>/RoamSwitch-Recovered/<ID>/. restore, que revierte todo, sobrescribe el estado actual, por lo que es el último recurso (solo por comando).
5. Levante el aislamiento. Un temporizador por sí solo no lo levanta. Solo se levanta cuando se confirma que la causa ha desaparecido, o cuando usted lo levanta con «Levantar Air-Gap y restaurar la red» en la bandeja o con sudo roamswitch emergency-restore.
6. Vigile. Después de levantarlo, compruebe si vuelve a aparecer la misma detección. Compruebe el contenido de los archivos restaurados antes de devolverlos a su sitio original.