Turno activo · Santiago de Chile --:--:--
A las tres de la mañana no hay nadie mirando. Salvo nosotros.
Vigilamos correo, equipos, nube y perímetro con un turno que contesta el teléfono. La diferencia no está en el software —el tuyo probablemente ya detecta— sino en que alguien actúe a las 03:14 en vez de encontrarse el desastre a las nueve.
- 99,98% Disponibilidad 90 días
- 0 Incidentes contenidos
- 0min Mediana de contención
- 2 En investigación ahora
PULSO · ALERTAS POR HORA, PROMEDIO DE 30 DÍAS
El problema no se reparte parejo en el día.
Entre las 04:00 y las 06:00 se concentra casi un tercio de todo lo que pasa en un mes. Es la hora en que no hay nadie en la oficina y la que decide si un incidente dura once minutos o hasta que alguien llega a las nueve.
CASO 2026-0417 · RANSOMWARE DETENIDO EN CIFRADO
Once minutos entre el primer archivo y el último.
Reconstruido con las marcas de tiempo del registro. El mismo ataque, sin nadie de turno, se descubre a las nueve de la mañana con el servidor completo cifrado: entre cinco y diez días de operación detenida, y una conversación con el directorio que nadie quiere tener.
- 03:14 +00:00
Un equipo empieza a cifrar archivos
Una cuenta de contabilidad abrió ayer un adjunto que parecía una factura. A las 03:14 el proceso despierta y empieza a renombrar el servidor compartido a 400 archivos por minuto.
- 03:14 +00:11
El sensor lo marca y suena un teléfono
La velocidad de escritura y el patrón de renombrado disparan la regla. Acá es donde la mayoría de los servicios manda un correo. Nosotros llamamos: a las tres de la mañana un correo es una notificación que se lee a las nueve.
- 03:16 +02:00
Analista en línea, equipo aislado de la red
Se corta la conexión del equipo origen sin apagarlo, para no perder la memoria que después sirve para saber por dónde entraron.
- 03:22 +08:00
Se revoca la sesión y se rota la credencial
La cuenta comprometida queda fuera de correo, VPN y el gestor de archivos. Se revisa si esa misma credencial se usó en otro lado esa noche.
- 03:25 +11:00
Contenido. 1.847 archivos cifrados, ninguno perdido
Restauración desde el respaldo de las 02:00. El daño final son once minutos de trabajo administrativo. A las 08:30 el equipo entra y no nota nada.
- 09:00 ++6 h
Informe con la puerta de entrada y cómo se cierra
Qué correo fue, qué filtro lo dejó pasar y los tres cambios que entran esta semana. Escrito para que lo entienda tu gerencia, con el detalle técnico en un anexo aparte.
MATRIZ DE SEVERIDAD · COMPROMISO CONTRACTUAL
Qué despierta a alguien y qué espera al lunes.
Firmado antes, no discutido durante. Los tiempos son de respuesta humana —el minuto en que un analista está mirando tu caso, no el que tarda un correo automático en salir— porque la diferencia entre las dos cosas es exactamente el problema que vinimos a resolver.
| Nivel | Qué entra acá | Respuesta | Quién |
|---|---|---|---|
| P1 Crítico | Cifrado en curso, credencial de administrador en uso ajeno, servicio caído | 15 min | Analista de guardia + jefe de turno, por teléfono |
| P2 Alto | Acceso desde país no habitual, malware bloqueado en un equipo, intento de fuerza bruta sostenido | 1 hora | Analista de guardia |
| P3 Medio | Software sin parche con vulnerabilidad conocida, permiso excesivo detectado | Mismo día hábil | Turno diurno |
| P4 Informativo | Cambio de configuración registrado, equipo nuevo incorporado al inventario | Informe semanal | Queda documentado |
COBERTURA · 805 SENSORES ACTIVOS
Nadie entra por la puerta principal.
Entran por un adjunto que alguien abrió, por una credencial que se reutilizó en otro servicio o por un puerto que quedó abierto en una prueba de hace dos años. Por eso se vigilan las cuatro superficies a la vez y no solo el perímetro.
-
Correo
412 sensores · 51% de la coberturaAdjuntos, suplantación de dominio y enlaces de robo de credenciales. Es la puerta por la que entra la mayoría, y por eso se lleva la mitad de la cobertura.
-
Equipos
268 sensores · 33% de la coberturaProcesos anómalos, cifrado masivo y escalamiento de privilegios en notebooks y servidores.
-
Nube
94 sensores · 12% de la coberturaSesiones desde ubicaciones nuevas, permisos que cambian solos y llaves de acceso expuestas en repositorios.
-
Perímetro
31 sensores · 4% de la coberturaPuertos abiertos sin justificación, servicios expuestos y certificados por vencer. Es lo que todos miran, y es lo que menos se usa para entrar.
805 sensores repartidos según por dónde entran de verdad, no según lo que se ve mejor en una lámina. El perímetro es la superficie que más se muestra en las presentaciones y la que menos aparece en los incidentes reales.
TURNO DE GUARDIA
Un número que contesta, no una casilla de correo.
Treinta minutos para revisar qué se está mirando hoy en tu empresa y qué no. Sales con esa lista aunque no contrates nada. Y si tu caso se resuelve ordenando lo que ya tienes, se dice: cobrar un monitoreo que no hace falta se paga con el primer incidente que no supimos explicar.
Hablar con el turno
- 01 Analista de guardia Contesta el teléfono. Aísla, revoca y contiene.
- 02 Jefe de turno Entra en P1 o si a los 30 minutos el caso sigue abierto.
- 03 Tu contraparte técnica Se avisa siempre, aunque el caso ya esté contenido.
- 04 Informe escrito Dentro de las 24 horas, con la puerta de entrada y cómo se cierra.
Dónde está el centro de operaciones
Av. Apoquindo 4501, oficina 1802
Las Condes
Visitas coordinadas con anticipación: el piso de operaciones tiene acceso restringido.