Resumen

  • El RFC 2350 organiza lo que un CSIRT debe explicar sobre su circunscripción, canales, mandato, políticas y servicios.
  • Esa explicación establece una interfaz y una expectativa razonable; cada resultado del incidente necesita su propio registro operativo.

En junio de 1998, el RFC 2350 intentó corregir malentendidos entre los equipos de respuesta y las comunidades a las que servían. Su instrumento fue una plantilla pública. El equipo debía indicar quién era, cómo contactarlo, su zona horaria y horario, sus claves, misión, circunscripción, patrocinador, autoridad, políticas de apoyo y divulgación, servicios, formularios y descargos.

El diseño hacía visible la promesa antes de una crisis. No convertía la promesa en prueba posterior.

Disponibilidad declarada y tiempo observado

El texto pide decir si existe una línea disponible las veinticuatro horas. Esa información permite saber si una respuesta inmediata forma parte de lo esperable. Sin embargo, el envío del denunciante, la entrega al sistema publicado, el acuse del equipo y la decisión de clasificación son cuatro hechos distintos.

El documento describe el canal. Los registros de transporte, el alta de un ticket, el acuse y las marcas de tiempo de la evaluación describen el caso. Además, el propio RFC advierte que el nivel de apoyo puede cambiar por la carga de trabajo y por la información disponible. “Servicio continuo” no equivale a “este aviso fue atendido en tiempo real”.

El informe entra antes que el incidente confirmado

Para RFC 2350, el triage interpreta y prioriza los informes, los relaciona con incidentes o tendencias y ayuda a decidir si realmente ocurrió un incidente y cuál es su alcance. La verificación viene después de la entrada.

El CSIRT Services Framework 2.1 de FIRST conserva esa separación. Una evaluación inicial puede pedir más datos, detectar una configuración incorrecta o un fallo de hardware, considerar una falsa alarma, remitir el informe a otro grupo o enviarlo a análisis. La aceptación del informe, el análisis del incidente y el análisis forense son servicios distintos.

Un número de ticket demuestra que una alegación ingresó en un proceso. No demuestra por sí solo la alegación. La confirmación requiere los datos y el razonamiento que movieron el expediente desde “reportado” hasta “confirmado”.

Servir a una comunidad no significa controlar sus sistemas

RFC 2350 separa la circunscripción del alcance de control. Un CSIRT comunitario puede actuar como asesor. Incluso un equipo corporativo puede carecer de autoridad sobre algunos sistemas incluidos en su perímetro de servicio.

Por eso recibir un aviso no concede automáticamente poder para aislar una máquina, obtener un dispositivo, obligar a un proveedor, instalar un parche o devolver una aplicación a producción. El equipo puede recomendar; el dueño del sistema ejecuta. Puede coordinar; la otra parte decide si responde.

Cada acción debe asociarse con un ejecutor autorizado y una evidencia de resultado. Recomendar contención no es contener. Solicitar que se elimine una puerta trasera no es demostrar su eliminación.

Los verbos del servicio son etapas distintas

El RFC divide la respuesta entre triage, coordinación y resolución. El triage evalúa y verifica. La coordinación clasifica la información según la política de divulgación y notifica a las partes que necesitan saber. La resolución suele ser adicional u opcional, e incluye asistencia técnica, erradicación y ayuda para recuperar sistemas y servicios.

No es una cadena automática. Un CSIRT puede clasificar un caso sin operar el sistema afectado. Puede enviar una notificación sin obtener acuse. Puede ofrecer orientación para erradicar una vulnerabilidad sin comprobar el estado final. La sección de seguridad del propio RFC declara que el documento no trata respuestas y reacciones concretas, sino la descripción adecuada de las respuestas ofrecidas.

FIRST enumera por separado aceptación, análisis, evidencia forense, mitigación y recuperación, coordinación y apoyo a crisis. También deja fuera cualquier valoración de capacidad, recursos, madurez o calidad. Nombrar una función no acredita su desempeño.

La atribución no sale de la lista de contactos

Las reglas de cooperación y divulgación dicen con quién puede intercambiar información un equipo. No identifican a un atacante. La atribución puede necesitar artefactos, cronologías, infraestructura, indicios de identidad, inteligencia, hipótesis rivales y un estándar institucional o jurídico.

El RFC 3227 aborda por separado la recogida y conservación de pruebas, incluida la identificación de sistemas y fuentes. El marco FIRST también diferencia análisis de incidente y análisis forense. Ofrecer esos servicios no crea los artefactos de un caso.

“Aceptamos informes y coordinamos con terceros” describe una capacidad. “Atribuimos este caso al actor X” requiere una conclusión fechada, método, alcance, confianza y evidencia. Sin ese expediente, la atribución no está establecida.

La recuperación exige comprobaciones

RFC 2350 define recuperación como ayuda para devolver sistemas y servicios a su estado anterior. La palabra ayuda no asigna necesariamente la ejecución ni el cierre al CSIRT.

El NIST SP 800-61 Rev. 3, finalizado en abril de 2025, exige una cadena operativa: escoger y ejecutar acciones, comprobar los activos de restauración, confirmar servicios esenciales y operación normal, observar los sistemas restaurados, verificar integridad, declarar el final según criterios y completar la documentación.

Un catálogo no acredita esos pasos. Tampoco basta que reaparezca una pantalla de acceso: eso no prueba erradicación de la causa, ausencia de persistencia, integridad de datos ni reconciliación de dependencias.

Fuentes y límites

Este análisis no evalúa a ningún CSIRT concreto ni afirma que un servicio publicado no se prestó. Señala únicamente que la publicación no demuestra la ejecución.