Durante un incidente, la velocidad importa y la incertidumbre es alta. La IA puede comprimir evidencia y preparar acciones, pero la autoridad de recuperación debe seguir con personas que entienden impacto, telemetría incompleta y las consecuencias de equivocarse.
NIST SP 800-61 Revisión 3 ubica incident response dentro de CSF 2.0 y enfatiza preparación, detección, respuesta, recuperación y mejora. La IA acelera el ciclo: correlaciona alertas, resume logs, crea timelines, propone queries, mapea comportamiento a MITRE ATT&CK, prepara comunicaciones y abre PRs.
No debe inventar hechos, alterar evidencia ni obtener autoridad amplia por urgencia. El incident commander controla severidad, prioridades, tradeoffs, comunicación, recuperación y cierre. Cada output de IA es hipótesis o propuesta hasta estar respaldado por evidencia citada y aceptado por política.
Una transcripción de chat no es un runbook. Modela estados, transiciones, evidencia, roles, timeouts, aprobaciones, comandos, rollback y criterios como datos estructurados. OASIS CACAO aporta schema y taxonomía para playbooks automatizados; OpenC2 aporta lenguaje independiente de proveedor para comandos de defensa. Ninguno elimina responsabilidad humana.
El atacante puede controlar command lines, filenames, HTTP, emails, chats, repositorios y documentos. Trata todo como evidencia, no como instrucciones. Delimita contenido, elimina markup activo, bloquea tool calls derivados directamente y exige IDs inmutables para cada afirmación.
Mantén el modelo de investigación separado de credenciales. Una línea maliciosa no puede solicitar revocación, firewall ni exportación. La capa de ejecución recibe solo comandos tipados de una transición aprobada.
| Clase | Ejemplos | Rol de la IA | Aprobación y verificación |
|---|---|---|---|
| Enriquecimiento read-only | Consultar SIEM, EDR, audit logs, inventario, identidad y threat intelligence. | Puede ejecutar dentro de límites de caso, tenant, tiempo y datos. | Registra query, alcance, fuentes, hash, coste y acceso. |
| Conservación de evidencia | Extender retención, snapshot, datos volátiles, mailbox o versiones. | Propone y ejecuta perfiles de bajo riesgo preaprobados. | Verifica chain of custody, destino, cifrado, completitud y política legal. |
| Contención estrecha y reversible | Revocar sesión, aislar endpoint, desactivar key o bloquear indicador temporal. | Genera comando exacto y preview; ejecuta bajo política explícita. | Aprobación de analista o regla de emergencia; verifica estado y rollback. |
| Contención amplia | Desactivar IdP, bloquear región, rotar secretos o aislar red. | Presenta alternativas, dependencias, servicios y respuesta del atacante. | Incident commander y service owner; ejecución gradual y poscondiciones. |
| Cambio de remediación | Patch, IAM, detección, infraestructura o eliminación de persistencia. | Abre branch o PR firmado con evidencia, pruebas y rollback. | Review normal, checks, política de deploy y canario. |
| Recuperación | Restaurar servicio, usuarios, sistemas o retirar bloqueos. | Prepara checklist y vigila estado limpio; nunca declara éxito sola. | Owner aprueba criterios; automatización restaura gradualmente. |
El modelo puede tener alta confianza en explicación de baja severidad o poca confianza en evento catastrófico. No conviertas confianza directamente en acción. Registra fuerza de evidencia, confianza, severidad, impacto, urgencia, reversibilidad y autoridad por separado.
Mantén hipótesis alternativas visibles. Pregunta qué evidencia refutaría cada una y qué telemetría falta. Esto reduce confirmation bias e impide cerrar una investigación por una narrativa pulida.
Cuando la IA redacte código, infraestructura, IAM o detecciones, debe abrir PR. Incluye incident ID, evidencia, assets, pruebas, efecto, rollback y procedencia. Protected branches y reviews siguen activos salvo un break-glass separado.
Sigma expresa detecciones portables; data sources y técnicas ATT&CK documentan cobertura. Las reglas generadas aún requieren validación contra datos benignos y maliciosos. Sintaxis válida no garantiza bajo ruido.
Define estado limpio y poscondiciones: sin sesiones del atacante, raíces de identidad confiables, entrada corregida, observabilidad restaurada, dependencias sanas, error y latencia aceptables y sin recurrencia. Restaura por etapas y mantén la contención preparada.
El asistente observa señales, pero la persona responsable autoriza restauración. “Sin alertas” no prueba recuperación cuando la colección puede estar rota.
Construiría un orquestador de incidentes event-sourced con referencias de evidencia, hechos, hipótesis, estado, roles, aprobaciones, comandos, receipts, poscondiciones, comunicaciones y PRs bajo un incident ID.
La interfaz separaría hechos de inferencias, mostraría evidencia ausente, autoridad exacta y replay completo de cada decisión.
La IA debe reducir el tiempo entre evidencia y decisión bien formada, no eliminar al responsable. Conserva evidencia, estructura incertidumbre, vincula comandos a transiciones aprobadas, mantiene controles de ingeniería y trata recuperación como juicio humano verificado.
Artículo sobre runbooks asistidos por IA con triage basado en evidencia, contención y recuperación aprobadas, PRs de remediación y ejecución reproducible.