Respuesta a incidentes y conservación de evidencia

Máster de origen EN · P03-L07 · needs_review

Solo estudio sin conexión/de solo lectura. Nunca facilites secretos, contraseñas ni códigos de autenticación. Sin conexión de cartera, aprobación real, revocación en vivo, firma de transacción, transferencia, fondos ni operación. Los recursos visuales son solo especificaciones.

Durante un incidente, los usuarios necesitan reducir la exposición y registrar suficiente evidencia sin secretos para analizarla después. Un informe retrospectivo de una empresa puede enseñar ese proceso si cada afirmación histórica conserva su atribución.

Usar el paquete de fuentes congelado

El conjunto de datos P03-L07-LEDGER-REPORT-20231220-v1 contiene un registro selectivo parafraseado de la publicación y un archivo de procedencia. LR01 registra las fechas del informe/incidente: 20 y 14 de diciembre de 2023, según Ledger. LR02 conserva agrupadas las afirmaciones de versiones/tiempos de publicación en CET. LR03 conserva la toma de conocimiento comunicada y una entrada de corrección en la cronología; su etiqueta no prueba de forma independiente el instante preciso del despliegue. LR04 conserva el relato empresarial de propagación de caché. Son LEDGER-REPORTED / OFFICIAL COMPANY REPORT, no eventos de incidente capturados de forma independiente.

El paquete se recuperó el 2026-10-01, con precisión de día. Es una representación actual de una publicación retrospectiva, no una captura de pantalla contemporánea de 2023. No incluye recibo de cadena nativa, muestra de malware, artefacto npm, hash de paquete, registro de firmas, cifra de pérdidas ni atribución humana. Inspeccionar la publicación oficial establece que contiene las declaraciones conservadas; no autentica de forma independiente su cronología subyacente.

Leer la cronología sin rellenar huecos

LR02 mantiene agrupadas las versiones afectadas y las etiquetas de tiempo de publicación. No emparejes cada versión con un tiempo suponiendo que el orden de la lista establece una correspondencia uno a uno. Conserva CET como base temporal declarada. Un tiempo de evento histórico, una fecha de publicación y una fecha de recuperación responden a preguntas diferentes.

La declaración de corrección de LR03 no establece un instante preciso de despliegue verificado de forma independiente ni contención universal. LR04 comunica una salvedad sobre caché, mientras que el último instante exacto de suministro entre sistemas es UNKNOWN en este paquete. Un informe posterior puede describir mitigación sin mostrar qué cargó el navegador de un usuario concreto. La exposición del usuario requiere registros locales/de software y de autorización con fuentes adecuadas; las etiquetas de versión por sí solas no muestran un movimiento de activos ejecutado.

Ensayar una respuesta sin afirmar que ocurrió

El siguiente marco de prioridades es razonamiento pedagógico INFERRED, no reconstrucción de la respuesta real de Ledger ni de un usuario. Primero evita continuar una interacción sin resolver: ninguna conexión, aprobación, firma de mensaje ni transferencia adicional. En un escenario organizacional, aísla la interacción/componente sospechoso mediante un proceso establecido de incidentes. Esta tarea de aula no realiza ningún cambio operativo.

Conserva evidencia sin secretos cuando sea seguro y rápido: URL de fuente, resumen del aviso observado, afirmación de nombre/versión del paquete, tiempo de la nota de incidente y método de recopilación. La conservación no debe exigir recargar código sospechoso ni retrasar la contención urgente. Si conservar material requiere ejecutar malware o exponer credenciales, registra el hueco. No conviertas «primero capturar todo en pantalla» en regla universal.

Separar categorías de artefactos

Una declaración de versión de paquete no es el binario del paquete. Un hash de paquete no es una atribución completa de malware. Un localizador público de transacción no es una identidad humana. La declaración de un usuario sobre una firma no es una autorización consumida observada de forma independiente. Construye filas separadas para informe empresarial, artefacto local, etapa de autorización y evidencia del resultado. En este paquete, solo la primera categoría contiene registros históricos.

Una fila útil incluye fuente, localizador, campo/afirmación, clase de fuente, base temporal original, precisión del tiempo de recuperación y lo que la fila no puede establecer. Si la corrección modifica un sistema, las observaciones posteriores deben registrarse como contextos posteriores, sin reescribir la evidencia original. Oculta valores confidenciales en cualquier entrega didáctica; la orientación de seguridad excluye compartir material de recuperación, claves o contraseñas [SECURITY].

Indicar lo conocido y lo no resuelto

OBSERVED: metadatos de publicación y existencia de declaraciones LR01–LR04, expresamente a nivel de informe empresarial. INFERRED: prioridades de respuesta de la hoja de trabajo bajo los supuestos del escenario indicados. UNKNOWN: artefactos de usuarios afectados, firmas consumidas, pérdidas, estado completo de caché e identidad humana. INSUFFICIENT EVIDENCE: confirmación forense independiente, culpa de una persona concreta o cualquier afirmación de que todos los usuarios estaban a salvo tras la corrección comunicada.

Preparar una entrega factual

Tu entrega debe tener tres partes: decisión inmediata sin conexión, inventario de evidencia conservada y preguntas concretas sin resolver. Nunca debe pedir frase semilla, clave privada, contraseña, frase de recuperación ni código de autenticación. «Facilita la fuente sin secretos del paquete/versión y su contexto de recopilación» es una solicitud precisa de evidencia. «Dame tu material de recuperación para investigar» está prohibido. El ejercicio no firma una revocación ni mueve dinero; las operaciones reales de respuesta requieren su propio contexto de incidente confiable y quedan fuera de esta lección.

• Contención: reducción de la exposición que continúa, distinta de una reconstrucción forense completa.
• Conservación: retener evidencia segura con fuente y contexto de recopilación.
• Comunicado por la empresa: declaración de incidente atribuida a su editor.
• Artefacto: objeto recopilado con procedencia, distinto de una afirmación sobre él.
• Procedencia temporal: significado de una marca temporal y quién la proporcionó.

Solo registro de informe empresarial HISTORICAL LR01–LR04; sin artefactos independientes de cadena/forenses. Usa dataset.json y records/ledger-report.selective.json. La hoja de respuesta propone acciones bajo supuestos explícitos de un escenario sin conexión; no añade eventos ficticios de Ledger, identidades de carteras, pérdidas ni conclusiones causales.

Panel de evidencia con rótulo permanente LEDGER-REPORTED. El carril histórico contiene solo LR01–LR04 y sus secciones de fuente/base temporal. Un carril separado de hoja de trabajo contiene prioridades de respuesta INFERRED. Un tercer carril de artefactos desconocidos enumera bytes del paquete, exposición local y resultados de transacciones como no disponibles. Nunca vincular una etiqueta de paquete con un atacante humano o pérdidas totales.

Las declaraciones seleccionadas aparecen en el registro conservado de la publicación oficial. La hoja de trabajo puede justificar prioridades de respuesta bajo supuestos explícitos.

Cronología independiente del incidente, integridad del paquete, atribución de malware/atacante, exposición de usuarios, pérdidas, finalización efectiva de la contención o un evento nativo de blockchain.

• Presentar el relato empresarial como observación forense independiente.
• Conservar evidencia volviendo a ejecutar código sospechoso.
• Retrasar la contención por una secuencia exhaustiva de capturas de pantalla.
• Inferir parejas paquete/tiempo a partir de texto agrupado.
• Pedir secretos para investigar.

Crea filas para LR01–LR04: fuente, fecha de publicación/incidente, base temporal comunicada, fecha/precisión de recuperación, afirmación de versión de paquete donde exista, estado de evidencia y límite. Ordena tres tareas sin conexión: pausar la interacción sin resolver; conservar fuente/contexto saneados de forma segura; identificar artefactos ausentes. Explica cuándo la conservación no debe retrasar la contención. Redacta una entrega factual con dos campos UNKNOWN y una afirmación INSUFFICIENT EVIDENCE, sin pedir secretos.

Entrega una tabla y una conclusión acotada usando solo el material sin conexión facilitado. Distribución editorial del tiempo: estudio 12 min, ejercicio 8 min, corrección/cuestionario 10 min.

• Contener la exposición sin añadir acciones en vivo.
• Conservar solo registros sin secretos disponibles de forma segura.
• Mantener clase de fuente y semántica temporal.
• Conservar afirmaciones agrupadas del informe sin inventar parejas.
• Distinguir artefacto, declaración y resultado.
• Mantener sin resolver las afirmaciones sobre identidad, pérdidas y contención completa.

El caso Ledger puede usarse como hoja de trabajo de un informe empresarial atribuido. Es posible enseñar prioridades de contención segura y conservación atenta a la procedencia sin fingir que el informe verifica eventos de forma independiente o identifica personas.

• Priorizar la contención y registrar hechos sin pedir secretos
• Priorizar la contención sin retrasarla por una recopilación insegura de evidencia.
• Conservar la procedencia del informe, paquete/versión y marcas temporales.
• Distinguir la inspección de una publicación de la verificación independiente del incidente.

P03-L08 después de revisar el prerrequisito y la corrección.

NONE en el catálogo autorizado. Los datos sin conexión facilitados bastan; no se requiere comprar un producto ni operar con una cartera.

• [LEDGER] Informe de incidente de seguridad de Ledger — Cronología y declaraciones sobre paquetes atribuidas a la empresa; sin prueba forense ni de cadena independiente.
• [SECURITY] Seguridad de Ethereum y prevención de estafas — Confidencialidad de secretos, comprobación de dominios exactos y cautela con el soporte no oficial.

La documentación explica mecanismos. Los registros históricos conservan su clase de fuente declarada. La inspección de fuentes no es aceptación editorial independiente.