LinuxKit

Playbooks operativos

Trabaja por situación.

Cada caso agrupa el orden recomendado, el propósito y un acceso directo al laboratorio guiado.

Servidor bajo ataque

Recopila evidencia, revisa accesos, procesos, conexiones y logs antes de aislar.

  1. 01Identificar host y hora
  2. 02Revisar usuarios y accesos
  3. 03Inspeccionar red y procesos
  4. 04Preservar logs
  5. 05Aislar una IP validada
Abrir flujo

Endurecer SSH

Revisa la configuración efectiva y valida cambios sin perder el acceso remoto.

  1. 01sshd -T
  2. 02Revisar PermitRootLogin
  3. 03Revisar autenticación por contraseña
  4. 04Comprobar firewall
  5. 05Validar una segunda sesión
Abrir flujo

Auditoría web autorizada

Inventaría exposición HTTP y WordPress con herramientas orientadas a diagnóstico.

  1. 01Descubrir puertos con Nmap
  2. 02Detectar versiones
  3. 03Comprobar cabeceras HTTP
  4. 04Auditar WordPress con WPScan
  5. 05Guardar resultados
Abrir flujo

VPS lento

Separa CPU, memoria, disco, red y servicios para encontrar el cuello de botella.

  1. 01uptime y free
  2. 02top y procesos
  3. 03df y du
  4. 04ss -s
  5. 05logs del servicio
Abrir flujo

Disco lleno

Localiza el consumo, identifica logs grandes y libera espacio con control.

  1. 01df -hT
  2. 02du por directorios
  3. 03find por tamaño
  4. 04Revisar logs rotados
  5. 05Eliminar solo tras confirmar
Abrir flujo

Servicio caído

Diagnostica systemd, configuración, puertos y últimos mensajes del servicio.

  1. 01systemctl status
  2. 02journalctl -u
  3. 03Validar configuración
  4. 04Comprobar puerto
  5. 05Reiniciar con criterio
Abrir flujo

Intruso dentro del sistema

Investiga una posible intrusión activa: usuarios, persistencia, archivos recientes, procesos y conexiones. Primero preserva evidencia; después contiene.

  1. 01Registrar contexto y no apagar impulsivamente
  2. 02Buscar usuarios y claves nuevas
  3. 03Revisar archivos modificados recientemente
  4. 04Inspeccionar procesos y conexiones
  5. 05Detener solo un PID confirmado
  6. 06Revisar cron, systemd y accesos SSH
Abrir flujo

Auditoría de cuentas

Detecta cuentas locales inesperadas, privilegios sudo y claves SSH añadidas en un servidor propio.

  1. 01Listar usuarios humanos
  2. 02Revisar UID 0
  3. 03Inspeccionar grupos sudo
  4. 04Localizar authorized_keys
  5. 05Comparar con inventario
Abrir flujo

Caza de persistencia

Busca mecanismos comunes de ejecución automática sin borrar evidencia ni modificar el sistema durante la primera pasada.

  1. 01Listar cron de usuarios y root
  2. 02Revisar servicios habilitados
  3. 03Buscar timers systemd
  4. 04Revisar perfiles de shell
  5. 05Comparar archivos de inicio
Abrir flujo

Posible ransomware

Contiene una posible propagación, preserva evidencia y prioriza la continuidad y recuperación desde backups verificados.

  1. 01Aislar segmentos afectados
  2. 02Registrar procesos y conexiones
  3. 03Buscar extensiones o cambios masivos
  4. 04Proteger backups
  5. 05No borrar evidencia
  6. 06Escalar y documentar
Abrir flujo

TLS o certificado vencido

Diagnostica certificados, fechas, cadena de confianza y diferencias entre proxy y servicio origen.

  1. 01Consultar fecha de expiración
  2. 02Validar cadena TLS
  3. 03Comparar DNS y endpoint
  4. 04Revisar renovación automática
  5. 05Recargar servicio con validación
Abrir flujo

DNS o HTTP no responde

Separa resolución DNS, conectividad, puerto, proxy, aplicación y código HTTP.

  1. 01Resolver DNS
  2. 02Comprobar ruta
  3. 03Probar puerto
  4. 04Consultar cabeceras
  5. 05Revisar logs del servicio
Abrir flujo

Backup y recuperación

Verifica que existan copias, que sean legibles y que el procedimiento de restauración esté documentado.

  1. 01Listar copias disponibles
  2. 02Comprobar integridad
  3. 03Revisar fechas y retención
  4. 04Probar restauración aislada
  5. 05Registrar resultado
Abrir flujo

Contenedor comprometido

Investiga un contenedor sospechoso, conserva logs y reduce exposición sin destruir la evidencia inicial.

  1. 01Listar contenedores e imágenes
  2. 02Guardar logs
  3. 03Revisar procesos y puertos
  4. 04Inspeccionar montajes
  5. 05Aislar y reemplazar desde imagen confiable
Abrir flujo

Ataque activo en el servidor

Contiene un incidente en curso sin destruir evidencia y prioriza alcance, continuidad y escalación.

  1. 01Registrar hora y contexto
  2. 02Preservar procesos y conexiones
  3. 03Identificar alcance
  4. 04Aislar de forma controlada
  5. 05Proteger credenciales y backups
  6. 06Documentar y escalar
Abrir flujo

Auditoría de archivos sensibles

Busca cambios recientes, permisos inseguros y archivos fuera del inventario esperado.

  1. 01Definir rutas autorizadas
  2. 02Listar cambios recientes
  3. 03Comparar hashes
  4. 04Revisar propietarios y permisos
  5. 05Guardar resultados
Abrir flujo

Proceso sospechoso

Investiga procesos inesperados, su origen, usuario, archivos abiertos y conexiones asociadas.

  1. 01Listar procesos completos
  2. 02Relacionar PID y usuario
  3. 03Revisar ejecutable y cwd
  4. 04Consultar archivos abiertos
  5. 05Comparar con inventario
  6. 06Contener solo con autorización
Abrir flujo

Conexiones salientes anómalas

Detecta destinos, puertos y procesos que generan tráfico no esperado desde el servidor.

  1. 01Capturar estado actual
  2. 02Relacionar sockets y procesos
  3. 03Resolver destinos con cautela
  4. 04Comparar allowlist
  5. 05Bloquear de forma reversible
Abrir flujo

Persistencia en el sistema

Revisa cron, timers, servicios, perfiles y claves autorizadas sin modificar el sistema durante la primera pasada.

  1. 01Revisar cron de usuarios
  2. 02Listar timers systemd
  3. 03Auditar servicios habilitados
  4. 04Revisar perfiles de shell
  5. 05Comparar claves SSH
  6. 06Preservar evidencia
Abrir flujo