Misión 12 · Practica la respuesta
El bot está comprometido
Pon la respuesta en un orden seguro.
Tienes pruebas de que la instancia del bot de Reza fue tomada. Las credenciales reales permanecieron en el proxy separado, pero la memoria escribible del bot podría estar manipulada.
Coordinador del incidente
“No sigas chateando con la copia comprometida. ¿Qué va primero y qué viene después?”
La decisión
Pulsa estos pasos en el orden más seguro.
- Investigar, rotar los tokens de reemplazo y reconstruir desde un punto limpio
No confíes en la memoria ni en la configuración del bot comprometido. - Ejecutar todas las comprobaciones de verificación antes de volver a compartir el acceso
Después, actualiza las instantáneas limpias y los registros de integridad. - Contener el bot y su sandbox; cerrar su salida al proxy
Detén la actividad en curso antes de hacer la limpieza. - Conservar las pruebas
Guarda las instantáneas del incidente y los registros relevantes antes de reconstruir.
Mostrar la explicación
Contener → conservar → investigar y reconstruir → probar. No intentaste «limpiar» un bot comprometido que seguía funcionando esperando que todo saliera bien.
Reconstruye desde un punto limpio y rota lo que haya quedado expuesto. Si la infraestructura o el host están comprometidos, la respuesta debe ser mucho más amplia.- En un compromiso de una instancia de Hermes, la guía rota los tokens de reemplazo de ese amigo porque las credenciales reales no estaban almacenadas allí.
- Un compromiso de la infraestructura puede exponer tokens reales del bot, claves de API y la CA; esos elementos también deben reemplazarse.
- Si el propio host está comprometido, reconstruye todo el servidor. Ya no se puede confiar en las capas inferiores.
Contención de incidentes
Detener la actividad dañina en curso y restringir el acceso antes de investigar y reconstruir.