Observabilidad y respuesta a incidentes
Detalles del proyecto
Por qué fue creado
Una sospecha de compromiso atravesaba muchas tiendas y terminales heterogéneos. El equipo necesitaba distinguir infección, deriva operativa legítima y recopilación incompleta entre miles de millones de registros, sin interrumpir ventas ni destruir evidencias.
Lo que construí
Creé la plataforma de monitoreo y el conjunto de herramientas forenses, conecté rutas autorizadas de adquisición con Codex y Claude CLI bajo supervisión humana y convertí la respuesta en un flujo repetible de adquirir, clasificar, contener, erradicar y recuperar.
Cómo está estructurado
- 01Recopilar
Las verificaciones TCP activas miden disponibilidad, latencia y pérdida de paquetes; los recopiladores remotos mediante WMI/DCOM obtienen inventario Windows, servicios y eventos de sistema.
- 02Correlacionar
Fastify y SQLite eliminan transiciones de estado duplicadas; las tareas de adquisición forense registran integridad, manifiestos, hashes SHA-256 y cadena de custodia.
- 03Actuar
El análisis asistido por IA, bajo supervisión humana, compara dispositivos equivalentes y reduce hipótesis; solo un flujo revisado puede simular, aprobar, poner en cuarentena y restaurar.
Restricciones y compromisos
+
Restricciones que dieron forma al sistema
- 01Las tiendas continuaban atendiendo mientras avanzaba la investigación; la recopilación y la contención necesitaban un radio de impacto reducido.
- 02El acceso de red y la cobertura de artefactos variaban; una evidencia incompleta nunca podía etiquetarse como limpia.
- 03La topología del cliente, las credenciales y la evidencia bruta debían permanecer privadas mientras las acciones del operador seguían siendo auditables.
Compromisos de diseño
- 01Se eligió la adquisición forense dirigida en lugar de la imagen completa de disco para alcanzar rápidamente la flota y preservar los artefactos necesarios para la investigación.
- 02Las barreras humanas hicieron la respuesta más lenta que una remediación autónoma, pero evitaron que una IA o un script ampliara el incidente por una acción equivocada.
- 03Solo los indicadores verificados habilitaban la eliminación; los casos inciertos permanecían visibles para revisión manual, sin clasificación forzada.
Otras decisiones de arquitectura
- Se eligió la adquisición forense dirigida en lugar de la imagen completa de disco para alcanzar rápidamente el entorno distribuido y preservar los artefactos necesarios.
- Una adquisición incompleta nunca produce una clasificación de entorno limpio; solo los indicadores de compromiso validados pueden autorizar la erradicación.
Valor para la operación
Miles de millones de registros fueron clasificados hasta convertirse en evidencias comparables, respaldando la contención, la erradicación y la recuperación por etapas en el entorno afectado.
Principio de ingeniería
“La IA acelera una investigación cuando la evidencia, la autoridad y la reversión permanecen explícitas; no debe sustituir el juicio de quien dirige el incidente.”