Incidente de seguridad / acceso sospechoso

Para un acceso sospechoso, un cambio de privilegios inesperado o una posible fuga de datos, un árbol de decisión que conduce, según el síntoma, a los pasos de respuesta correctos (bloquear la cuenta, revocar privilegios excesivos, cortar conexiones, determinar el alcance) y al endurecimiento permanente posterior al incidente.

¿Qué ha observado?

Elija el tipo de incidente. ¿El síntoma es un inicio de sesión sospechoso o una ráfaga de inicios de sesión fallidos, un cambio inesperado de privilegios (GRANT/rol), una posible fuga de datos / exportación anómala, o el incidente está cerrado y está aplicando endurecimiento permanente? Elija la rama más adecuada según su primera observación. Primero, anote la hora del incidente y la cuenta/recurso afectado.

• Inicio de sesión sospechoso / ráfaga de inicios de sesión fallidos
• Cambio inesperado de privilegios (GRANT/rol)
• Fuga de datos / exportación anómala
• Medidas permanentes tras el incidente (endurecimiento)

Incidente de identidad: ¿qué síntoma?

Muchos inicios de sesión fallidos apuntan a un ataque de fuerza bruta / credential stuffing. En cambio, un inicio de sesión exitoso pero inesperado (desde una IP inusual/a una hora inusual) indica que la cuenta puede estar comprometida. En ambos casos, recopile primero las evidencias y luego responda.

SELECT username, os_username, userhost, timestamp, returncode FROM dba_audit_session WHERE returncode <> 0 ORDER BY timestamp DESC;

• Ráfaga de inicios de sesión fallidos (fuerza bruta)
• Inicio de sesión exitoso pero inesperado (compromiso)

Fuerza bruta → bloquear el origen y proteger la cuenta

Con una ráfaga de inicios de sesión fallidos, puede que aún no se haya obtenido acceso; el objetivo es bloquear el origen, proteger la cuenta con bloqueo/retardo y descartar cualquier intrusión exitosa.

Cuenta comprometida → detener, investigar, rotar credenciales

Un inicio de sesión exitoso inesperado indica que la cuenta está comprometida. Primero detenga la cuenta y sus sesiones, investigue qué hizo, luego restablezca la contraseña y restrinja el origen de acceso.

Escalada de privilegios → auditar y revocar privilegios excesivos

Un GRANT inesperado, una asignación de rol o una nueva cuenta con privilegios elevados pueden ser la segunda fase de un compromiso (persistencia/escalada de privilegios). Audite los cambios de privilegios recientes, revoque los que no sean legítimos y vuelva al principio de mínimo privilegio.

Fuga de datos → cortar el acceso y determinar el alcance

Consultas/exportaciones anormalmente grandes o conexiones externas inesperadas apuntan a una fuga de datos. Primero corte las conexiones peligrosas activas y luego determine el alcance con la pista de auditoría/los logs: a qué datos se accedió, quién y cuándo.

Endurecimiento permanente tras el incidente

Tras la respuesta de emergencia, aplique controles permanentes para evitar que se repita: habilite la auditoría, aplique el mínimo privilegio, restrinja el acceso de red y registre el incidente por completo.