Laboratorio de playbooks de respuesta a incidentes
Sé el comandante del incidente en 7 escenarios, del ransomware y el BEC a un web shell y una extorsión por DDoS: ordena la respuesta, asigna responsables, decide ante los injects y comunica.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
En un incidente, saber qué hacer es la parte fácil. Saber en qué orden hacerlo, quién es responsable de cada paso y qué decir a la gente es lo que separa una recuperación limpia de un segundo incidente. En este laboratorio gratuito de respuesta a incidentes eres el comandante del incidente en 7 escenarios: ransomware, compromiso del correo empresarial (BEC), una clave de nube filtrada, robo de datos por un empleado, un proveedor de TI comprometido, un web shell y un DDoS con nota de extorsión. En cada ronda ordenas el ciclo de vida de la respuesta (identificar, contener, erradicar, recuperar y lecciones aprendidas), construyes el playbook a partir de un conjunto de acciones y das a cada paso un responsable, desde forense y el equipo de identidad hasta legal, finanzas y comunicación. A mitad del incidente llegan injects (21 en total entre los escenarios): una copia de seguridad resulta estar infectada, el asesor legal pone en marcha un plazo de 72 horas ante el regulador, llama un periodista. Cada uno cambia el orden correcto y trae una decisión que tomas contra una cuenta atrás. Algunas acciones son trampas: borrar antes de hacer la imagen forense, pagar o negociar sin comprobaciones legales y de sanciones, decir que no se llevaron nada antes de saberlo, notificar demasiado tarde. Después redactas las actualizaciones para las partes interesadas: el público correcto y las tres cosas correctas que decir. La puntuación se explica sola: cinco secciones (ciclo de vida 5, playbook 45, responsables 10, decisiones 24, actualizaciones 16) con cada deducción detallada. Las rondas tienen semilla (?seed=) para que una clase reciba el mismo incidente, y el resumen exporta tu playbook y tu cronología en Markdown. Es gratuito, no requiere registro y está en inglés y en español.
- Elige un escenario y ordena el ciclo de vida: identificar, contener, erradicar, recuperar y lecciones aprendidas.
- Construye el playbook con las acciones del conjunto, evita las trampas y asigna un responsable a cada paso.
- Cuando llegue un inject, adapta el orden y toma la decisión antes de que se acabe la cuenta atrás.
- Redacta las actualizaciones para las partes interesadas, revisa la puntuación y exporta tu playbook en Markdown.
Preguntas frecuentes
¿Qué es el laboratorio de playbooks de respuesta a incidentes?
Un ejercicio gratuito de respuesta a incidentes en el navegador. Eres el comandante del incidente en uno de 7 incidentes ficticios (ransomware, compromiso del correo empresarial, una clave de nube filtrada, robo de datos por un empleado, un proveedor de TI comprometido, un web shell y un DDoS con nota de extorsión). Ordenas el ciclo de vida, construyes un playbook ordenado con un responsable para cada paso, lo adaptas cuando llegan los injects, tomas decisiones contrarreloj y redactas las actualizaciones para las partes interesadas. Cada partida termina con un cuadro de puntuación, un desglose de puntos y una exportación en Markdown de tu playbook y tu cronología.
¿Cuáles son las fases de la respuesta a incidentes?
El laboratorio usa el modelo PICERL de SANS sin su primera fase, la preparación, que ocurre antes del incidente: identificar (confirmar y acotar el incidente, preservar las pruebas), contener (detener la propagación y el daño), erradicar (eliminar al atacante y su vía de entrada), recuperar (restaurar desde un estado limpio y cumplir las obligaciones de notificación) y lecciones aprendidas. El NIST SP 800-61 las agrupa de otra forma (detección y análisis; contención, erradicación y recuperación; actividad posterior al incidente) y, en un incidente real, las fases se solapan, pero cada paso sigue dependiendo del anterior.
¿Por qué importa tanto el orden de la respuesta?
Porque los errores más caros en la respuesta a incidentes son errores de orden. Si borras un equipo antes de hacer su imagen, las pruebas desaparecen. Si restauras desde la copia de seguridad antes de erradicar el malware y rotar las credenciales, reinfectas el sistema limpio. Si reconstruyes la CI antes de eliminar el usuario de puerta trasera del atacante, le entregas las claves nuevas. El laboratorio modela esto como dependencias y plazos estrictos, no como opiniones.
¿Qué es la regla de notificación de brechas en 72 horas del RGPD?
Según el artículo 33 del RGPD, el responsable del tratamiento debe notificar a la autoridad de control una violación de datos personales sin dilación indebida y, cuando sea posible, en un plazo de 72 horas desde que tenga conocimiento de ella, salvo que sea improbable que suponga un riesgo para las personas. La información puede facilitarse por fases, y una notificación tardía debe explicar los motivos del retraso. El artículo 34 exige comunicarlo a los afectados sin dilación indebida cuando el riesgo es alto. Varios escenarios del laboratorio ponen en marcha este plazo a mitad del incidente.
¿Cuándo debe una empresa cotizada en EE. UU. comunicar un ciberincidente a la SEC?
Según las normas de la SEC adoptadas en 2023, un emisor presenta el Form 8-K, Item 1.05, en un plazo de cuatro días hábiles desde que determina que un incidente de ciberseguridad es material, y debe hacer esa determinación de materialidad sin demora injustificada tras el descubrimiento. El plazo empieza con la determinación, no con el descubrimiento. El escenario del web shell incluye un inject de materialidad que pone a prueba exactamente esto.
¿Debe una empresa pagar un rescate o una extorsión?
En el laboratorio, pagar es siempre una trampa, porque pagar como atajo, sin asesoramiento legal, comprobaciones de sanciones ni las fuerzas del orden, nunca es un paso del playbook. El aviso de la OFAC del Tesoro de EE. UU. (actualizado en septiembre de 2021) advierte de que facilitar un pago de ransomware a una persona o jurisdicción sancionada puede infringir las sanciones de EE. UU. Los escenarios de ransomware y de extorsión por DDoS ponen a prueba si mantienes esa línea bajo presión de tiempo.
¿Qué son los injects y las decisiones contrarreloj?
Los injects son información nueva que llega a mitad del incidente: el servidor de copias de seguridad también está cifrado, 40 GB salieron hacia un relé anonimizador, aparece un segundo web shell, los atacantes dicen a la prensa que robaron datos. Cada inject añade acciones y cambia el orden correcto. La mayoría trae una decisión que debes tomar antes de que se agote una cuenta atrás (60 segundos en Rookie, 40 en Pro, 25 en Elite); quedarte sin tiempo puntúa como una decisión equivocada.
¿Cómo se calcula la puntuación?
Cinco secciones, cada una empieza completa: orden del ciclo de vida (5 puntos, menos 1 por cada fase fuera de lugar), secuencia del playbook (45, menos 15 por trampa, 6 por cada paso que falta o está fuera de orden y 4 por cada paso tardío), responsables de los pasos (10, menos 2 por cada responsable erróneo o ausente), decisiones ante los injects (24, repartidos entre las decisiones; una decisión aceptable vale la mitad) y actualizaciones a las partes interesadas (16, menos 2 por público equivocado, por cada línea incorrecta dicha y por cada línea correcta omitida). Cada sección se detiene en 0 por separado, cada pista cuesta 3 puntos y el resumen enumera cada deducción. Después, el multiplicador de dificultad y una bonificación por rapidez convierten ese porcentaje en tu puntuación.
¿Cómo funcionan las semillas?
Cada ronda se genera a partir de una semilla en el enlace (?seed=), junto con el escenario y el nivel. La semilla decide qué injects llegan y en qué orden, el orden de las tarjetas de cada carril, el ciclo de vida barajado y el orden de cada opción de decisión y de mensaje. Comparte el enlace y un colega o una clase entera jugará el mismo incidente.
¿Puedo exportar el playbook?
Sí, gratis. El resumen exporta un archivo Markdown con tu ciclo de vida, el playbook final (paso, fase, responsable y veredicto), los pasos que faltan, la cronología del incidente, tus decisiones junto a la mejor opción, las actualizaciones que enviaste, las normas de notificación aplicables y el desglose completo de la puntuación. Úsalo como punto de partida para tu propio runbook.
¿El laboratorio funciona en español?
Sí. Usa el selector EN/ES del laboratorio (o abre /tools/ir-playbook-lab?lang=es). Todos los escenarios, acciones, injects, decisiones, actualizaciones, pistas, líneas del resumen, el coach, la exportación y el cuadro de puntuación están escritos en español latinoamericano, no traducidos automáticamente sobre la marcha.
¿Cómo funciona el modo clase?
Un docente crea una clase en el laboratorio y obtiene un código de seis caracteres. Los estudiantes abren el laboratorio con ?class=CODIGO (o escriben el código en el laboratorio), juegan como siempre y sus partidas terminadas aparecen en una clasificación de la clase en directo, con una vista imprimible para el docente en /tools/ir-playbook-lab/class/CODIGO. Añade el mismo ?seed= al enlace y todos recibirán el mismo incidente. No hacen falta cuentas ni correos de los estudiantes.
¿El incidente es real?
No. Todas las empresas, personas, direcciones IP y cifras del laboratorio son inventadas para la formación, y los compañeros y participantes en directo son una simulación dentro de la página. Las normas que cita (el RGPD, la norma de la SEC, el aviso de la OFAC, la Directiva europea de protección de los denunciantes) son reales y se nombran, pero es tu propio asesor legal quien decide cuáles se te aplican.
¿Es gratis?
Sí. El laboratorio es gratuito, no requiere registro y la exportación en Markdown también es gratuita.