DefiniciónDFIR (Digital Forensics and Incident Response) es la disciplina que une la respuesta a incidentes, que contiene el ataque y recupera la operación, con la forense digital, que recoge y analiza evidencias para entender qué pasó, cómo y con qué alcance.
Cómo funciona
El ciclo clásico de respuesta, descrito en la publicación NIST SP 800-61, tiene cuatro fases:
- Preparación: plan, roles, contactos, herramientas y ejercicios definidos antes de la crisis.
- Detección y análisis: confirmar el incidente y evaluar severidad y alcance.
- Contención, erradicación y recuperación: aislar sistemas, eliminar el acceso del atacante y restaurar la operación con seguridad.
- Actividades posincidente: lecciones aprendidas y ajuste de controles.
La revisión 3 de la SP 800-61, publicada en 2025, pasó a organizar estas recomendaciones en torno a las funciones del NIST CSF 2.0, tratando la respuesta como parte de la gestión de riesgos.
La forense acompaña todas las etapas: preserva memoria, discos y logs, reconstruye la línea de tiempo e identifica el vector de entrada, las cuentas comprometidas y los datos accedidos.
Por qué importa la forense
Sin forense, la respuesta tiende a tratar el síntoma y dejar la puerta abierta. Restaurar servidores sin saber cómo entró el atacante es invitar a la reincidencia. Las evidencias también sustentan decisiones de negocio: comunicación a reguladores y titulares de datos, activación del seguro, medidas legales e informe a la dirección.
Preservar evidencias tiene reglas: recolectar antes de apagar o reinstalar sistemas, registrar quién manipuló cada elemento y garantizar la integridad de las copias.
DFIR vs SOC
El SOC monitorea de forma continua y realiza la primera respuesta. El DFIR entra cuando el incidente exige una investigación a fondo, coordinación de la crisis y recuperación. Ambos funcionan mejor cuando el plan de respuesta define de antemano cómo se hace ese traspaso.
Network Secure ofrece un servicio de Respuesta a Incidentes.
Preguntas frecuentes
¿Cuál es la diferencia entre DFIR y respuesta a incidentes?
La respuesta a incidentes se enfoca en contener el ataque y recuperar la operación. DFIR suma la forense digital, que recoge y analiza evidencias para explicar qué pasó y con qué alcance.
¿Debo apagar el equipo comprometido?
En general, es mejor aislarlo de la red sin apagarlo, porque apagarlo borra evidencias que solo existen en la memoria. Lo ideal es seguir el plan de respuesta y avisar al equipo responsable.