Un analista del SOC detecta que una estación de trabajo en el departamento de contabilidad está cifrando masivamente archivos en un recurso compartido SMB corporativo. ¿Cuál es el paso INMEDIATO de contención que debe ejecutarse?
A
Aislar la estación de trabajo afectada de la red (desconexión de cable de red o desconexión lógica EDR) sin apagar el equipo.
B
Apagar inmediatamente el equipo de alimentación para detener el proceso en disco.
C
Restaurar inmediatamente los backups de los recursos compartidos SMB antes de investigar.
D
Contactar al usuario para solicitarle que cierre todos los programas abiertos.
✓ Justificación Técnica CompTIA: La opción A es la correcta. En la fase de contención de un incidente de malware/ransomware, se debe aislar el host infectado de la red para evitar la propagación lateral. No debe apagarse el equipo inmediatamente porque se perdería evidencia volátil crítica residente en la memoria RAM (claves criptográficas, procesos en ejecución y conexiones de red).