Servicio · Investigación post-incidente
Forense digital e investigación tras ataques e incidentes
Cuando “ya ha ocurrido”, lo crítico es demostrar qué pasó, medir el impacto real y cerrar la brecha para que no se repita. Preservamos evidencias, reconstruimos el timeline, ejecutamos Root Cause Analysis y entregamos un plan de remediación verificable.
Qué pasó
Reconstrucción de hechos y timeline
Cómo pasó
Técnicas, TTPs e ingeniería del ataque
Impacto
Alcance, datos, sistemas y riesgo residual
Qué hacer
Plan de remediación priorizado y verificable
Complementa muy bien con SOC/MDR 24/7 y preparación de continuidad.
Evidence & Timeline View
Scope
Identity · Endpoint · Cloud · Email
Output
Timeline + RCA
demostrable
Evidencia
Custodia
defensible
Acción
Remediación
verificable
Investigación orientada a decisiones: evidencia → conclusiones → acciones.
Capacidades
Investigación completa, sin perder rigor
Diseñada para escenarios enterprise: coordinación con IT/SecOps, soporte a aseguradora/legal, y mejora real de detección y respuesta.
Preservación y cadena de custodia
Adquisición y preservación de evidencias con trazabilidad (hashing, registros, control de accesos) para un análisis defensible ante auditoría, legal o aseguradora.
Timeline y reconstrucción del incidente
Correlación de logs, artefactos y telemetría para reconstruir la secuencia: acceso inicial → persistencia → movimiento lateral → exfiltración/impacto.
Análisis de endpoints (disco/memoria)
Búsqueda de artefactos, ejecución, persistencia, credenciales, lateral movement y evidencia de tooling. Priorización por impacto y alcance.
Forense cloud y M365
Investigación en identidades, correo, reglas, OAuth apps, actividad anómala, IAM y eventos cloud. Contención y hardening alineado a la investigación.
Análisis de malware y tooling
Clasificación, comportamiento, IoCs, rutas de ejecución y recomendaciones para detección/prevención. Enfoque práctico para mejorar cobertura.
Reporting ejecutivo y técnico
Informe para dirección (impacto, riesgo, decisiones) + informe técnico (evidencias, IoCs, timeline, RCA y plan de acción).
¿Necesitas contención además de investigación?
Si el incidente está activo, coordinamos con Respuesta a Incidentes y, si aplica, reforzamos con SOC/MDR 24/7 para acelerar detección, triage y escalado.
Entregables
Evidencias y conclusiones listas para dirección, auditoría y legal
No solo “un informe”: entregamos evidencia, trazabilidad y acciones priorizadas con criterios de verificación.
Informe ejecutivo (C-Level)
Impacto, alcance, decisiones tomadas, riesgo residual y roadmap priorizado.
Informe forense (técnico)
Timeline, evidencias, artefactos, hipótesis y conclusiones (RCA).
Paquete de evidencias
Colección preservada, hash y trazabilidad (cadena de custodia).
IoCs y hunting pack
Indicadores, queries y recomendaciones para detección y búsqueda.
Plan de remediación verificable
Acciones priorizadas con owners sugeridos y criterios de validación.
Lecciones aprendidas
Mejoras de controles, hardening, logging y respuesta para evitar repetición.
Metodología
Un enfoque “evidence-grade” que cierra el ciclo
Preservación → investigación → contención guiada por evidencia → remediación verificable → mejora continua.
-
Paso 01
Activación y preservación
Aseguramos evidencias y evitamos contaminación. Definimos alcance y prioridades.
-
Paso 02
Adquisición y triage
Recogida de artefactos clave y análisis inicial para hipótesis y pivotes.
-
Paso 03
Investigación profunda
Timeline, RCA, alcance, impacto y atribución técnica cuando aplica.
-
Paso 04
Contención guiada por evidencia
Acciones coordinadas para cortar persistencia y reducir riesgo real.
-
Paso 05
Remediación y verificación
Correcciones + validación: cerramos el ciclo con evidencias de mejora.
-
Paso 06
Informe y mejora continua
Entregables, hunting pack y mejoras de logging/cobertura/SecOps.
Antes del incidente: reduce tiempos y caos
Te ayudamos a preparar logging, evidencias, playbooks y coordinación para responder mejor.
Auditoría de infraestructura →Después del incidente: asegúralo para auditoría
Investigación + documentación + acciones verificables para sostener conclusiones ante terceros.
Continuidad (BCP/DRP) →FAQ
Preguntas habituales
¿En qué se diferencia forense digital de respuesta a incidentes?
La respuesta a incidentes prioriza contener y recuperar. El forense digital prioriza reconstruir y demostrar qué ocurrió (evidencias, timeline y RCA) para evitar recurrencia y soportar auditoría, legal o aseguradora. En la práctica se trabajan coordinados.
¿Qué rapidez de activación ofrecéis?
Podemos activar en modo urgente para preservar evidencia y empezar triage. Si ya tienes un servicio 24/7 (SOC/MDR o retainer), el tiempo de reacción se reduce significativamente.
¿Podéis investigar M365 / Entra ID / cloud?
Sí. Investigamos identidades, correo, reglas, OAuth apps, eventos cloud e IAM para reconstruir el acceso inicial, persistencia y alcance, y guiar contención/hardening.
¿Qué recibo al final exactamente?
Informe ejecutivo + informe técnico forense, paquete de evidencias con trazabilidad, IoCs y recomendaciones priorizadas con criterios de verificación.
¿Necesitas investigación forense o activación urgente?
Dinos el contexto (tipo de incidente, sistemas implicados, urgencia) y te proponemos el plan de actuación y preservación.