DFIR (Análisis forense y respuesta a incidentes)

Los equipos DFIR actúan durante y después de los incidentes de seguridad para entender lo ocurrido, dimensionar el impacto, expulsar al adversario y producir hallazgos con valor probatorio. Los flujos siguen NIST SP 800-61 para la gestión de incidentes y NIST SP 800-86 / ISO/IEC 27037 para el manejo de evidencias, combinando respuesta en vivo (consultas EDR, triajes con KAPE o Velociraptor) con adquisición forense completa cuando procede. Los analistas pivotan entre telemetría de endpoint, memoria, red y nube para reconstruir TTPs mapeadas a MITRE ATT&CK. Los productos incluyen indicadores de compromiso, causa raíz, guías de remediación y lecciones aprendidas que mejoran la detección y prevención.