Ir al contenido
Inicio / Servicios / Respuesta a Incidentes
DFIR 24/7 · SLA 1h crítico · 4h alto · 8h medio

Empresa de Respuesta a Incidentes y Forense Digital

Cuando ocurre una violación, cada minuto cuenta. SOC 24/7 bajo NIST SP 800-61 y forense digital con cadena de custodia para tribunal. Berghem es una empresa de respuesta a incidentes con sede en São Paulo, equipo propio y actuación en todo Brasil y LatAm.

¿Qué cubre el programa de respuesta a incidentes de Berghem?

El programa de respuesta de Berghem cubre todo el ciclo del incidente — de la preparación con playbooks y tabletops, a la contención en horas vía SOC 24/7, hasta la pericia forense que reconstruye la kill chain y produce informe pericial firmado para tribunal.

Cada acción se registra, cada decisión se documenta y cada artefacto preserva la cadena de custodia. Cerramos con revisión post-incidente, actualización de playbooks e indicadores de compromiso para alimentar SIEM, EDR y threat intel interno.

Todo lo que está incluido

•SOC 24/7 con guardia rotativa
•Ciclo NIST SP 800-61 (6 fases)
•Contención en hasta 4 horas
•Adquisición forense de disco y memoria
•Ingeniería inversa de malware
•Cadena de custodia ISO/IEC 27037
•Informe pericial firmado por perito judicial
Módulo 01 · NIST SP 800-61

Respuesta a Incidentes

Seis fases ejecutadas por un SOC 24/7 — de la preparación al post-incidente. Cada minuto se registra, cada decisión se documenta y cada acción preserva cadena de custodia.

Fase 01 · Playbook

Preparación

Plan de respuesta, entrenamiento del equipo y tabletop exercises para garantizar preparación antes del incidente — playbooks específicos por escenario y por área de negocio.

Fase 02 · SIEM · EDR

Detección y Análisis

Identificación y clasificación rápida vía SIEM, EDR y threat intel — correlación multi-fuente para separar ruido de compromiso real y priorizar respuesta.

Fase 03 · Aislamiento

Contención

Aislamiento de hosts, revocación de credenciales y limitación del radio de impacto — preservando evidencias para la pericia y auditoría.

Fase 04 · Limpieza

Erradicación

Remoción completa de la amenaza del ambiente y cierre de los vectores de ataque explotados — hardening y validación de integridad.

Fase 05 · Restauración

Recuperación

Restauración asistida con monitoreo reforzado para detectar intentos de retorno del adversario — validación antes de la retomada.

Fase 06 · Post-mortem

Lecciones Aprendidas

Informe post-incidente, análisis de causa raíz y acciones correctivas — cerrando el ciclo con actualización de playbooks e indicadores.

Módulo 02 · ISO/IEC 27037

Forense Digital

Investigación que resiste cross-examination: adquisición forense, reconstrucción de timeline y informe pericial firmado por perito judicial.

Imagen · RAM · Artefactos

Disco y Memoria

Imágenes bit-a-bit write-blocked, captura de RAM volátil, análisis de artefactos NTFS/EXT4 y dump de procesos.

PCAP · NetFlow · C2

Tráfico de Red

Captura PCAP, NetFlow, reconstrucción de sesiones, extracción de IOCs e identificación de servidores C2.

Sandbox · MITRE ATT&CK

Malware e Ingeniería Inversa

Análisis estático y dinámico en sandbox, unpacking, deobfuscation y mapeo de TTPs contra MITRE ATT&CK.

SIEM · EDR · IdP · Cloud

Logs y Timeline

Correlación de logs de SIEM, EDR, IdP y cloud para reconstruir la kill chain minuto a minuto.

ISO/IEC 27037 · SHA-256

Cadena de Custodia

Procedimientos ISO/IEC 27037 con hashing SHA-256, sello digital y rastro auditable de cada evidencia.

Informe · Pericia · Tribunal

Perito Judicial e Informe

Informe pericial firmado, asistencia técnica en juicio y testimonio especializado.

Forense Computacional e Informe Pericial

La forense computacional reconstruye lo ocurrido con rigor admisible en tribunal. Berghem ejecuta recolección y preservación de evidencias, análisis de disco, memoria, red y nube, y produce un informe pericial técnico que documenta método, hallazgos y cadena de custodia — listo para respaldar decisiones legales, contractuales y regulatorias.

Respuesta a Incidentes de Ransomware

En un ataque de ransomware, la prioridad es contener la propagación lateral y preservar evidencias antes de cualquier restauración. Berghem aísla hosts comprometidos, identifica el vector inicial y el alcance del cifrado, evalúa opciones de recuperación — backup, descifrado, continuidad de negocio — y conduce el endurecimiento post-incidente para impedir la reinfección.

Cadena de Custodia (ISO/IEC 27037)

La cadena de custodia garantiza que cada evidencia sea rastreable desde la recolección hasta la presentación. Siguiendo la ISO/IEC 27037, Berghem aplica imágenes bit-a-bit con bloqueo de escritura, hashing SHA-256, sello digital y rastro auditable de quién accedió a qué y cuándo — lo que sostiene la validez de la prueba en procedimientos judiciales y administrativos.

Las 4 fases del NIST SP 800-61

Cada compromiso sigue el ciclo de respuesta a incidentes del NIST SP 800-61:

  • Preparación — playbooks, entrenamiento y preparación antes del incidente.
  • Detección y análisis — identificación y clasificación vía SIEM, EDR y threat intel.
  • Contención, erradicación y recuperación — aislar, remover la amenaza y restaurar con seguridad.
  • Actividad post-incidente — causa raíz, lecciones aprendidas y mejora de controles.

Notificación de incidente a la ANPD (LGPD)

La LGPD exige comunicar a la ANPD y a los titulares cuando un incidente de seguridad puede causar riesgo o daño relevante. Berghem apoya la evaluación del incidente, la definición de lo que debe reportarse y la producción de la documentación técnica que respalda la notificación — coordinando plazos y contenido con el equipo legal y el encargado (DPO).

Equipo propio y coordinación con autoridades

Berghem mantiene un equipo propio de DFIR, con examinadores certificados en GCFA (GIAC Certified Forensic Analyst) y EnCE (EnCase Certified Examiner), metodología documentada y coordinación con el CERT.br y otras autoridades cuando el caso lo exige. En un caso anonimizado de ransomware en una empresa de mediano porte, el equipo contuvo el movimiento lateral y preservó las evidencias para el informe pericial; en otro, que involucró una filtración de datos personales, ejecutó la forense computacional y apoyó la notificación a la autoridad de protección de datos. Cada respuesta genera evidencias reproducibles y un informe técnico que resiste la impugnación — desde la primera alerta hasta el eventual testimonio en juicio.

Lea también: El costo de una violación de datos en Brasil

SLA de respuesta por severidad

Los tiempos de respuesta se definen por severidad y aplican 24/7 para el nivel crítico:

CríticoRespuesta inicial en 1h · analista en 4h · 24/7
AltoRespuesta en 4h · analista en 8h
MedioRespuesta en 8h · horario laboral

Preguntas Frecuentes

¿Cuál es el tiempo de respuesta a incidentes de Berghem?
Berghem ofrece respuesta a incidentes por niveles con SLAs definidos. Los incidentes críticos reciben respuesta inicial en 1 hora, con un analista comprometido en 4 horas. Los incidentes de alta severidad reciben respuesta en 4 horas con compromiso de analista en 8 horas. Los tiempos de respuesta aplican 24/7 para suscriptores del nivel crítico y en horario laboral para el nivel estándar. Todos los compromisos comienzan con triaje rápido para determinar alcance, impacto y prioridades de contención.
¿Berghem proporciona forense digital?
Sí. Las capacidades de forense digital de Berghem incluyen forense de disco y memoria, análisis de tráfico de red, ingeniería inversa de malware, reconstrucción de líneas de tiempo y preservación de evidencias siguiendo procedimientos de cadena de custodia adecuados para procedimientos legales. Nuestros investigadores forenses utilizan herramientas y metodologías estándar de la industria para garantizar que los hallazgos sean defendibles y accionables. El análisis forense puede realizarse presencialmente o de forma remota según los requisitos del incidente.
¿Berghem puede manejar incidentes de ransomware?
Sí. Berghem ofrece respuesta integral a incidentes de ransomware incluyendo contención inmediata para prevenir la propagación lateral, análisis forense para determinar el vector de ataque y alcance del cifrado, servicios de asesoría en negociación, planificación de recuperación y endurecimiento post-incidente. Ayudamos a las organizaciones a evaluar sus opciones objetivamente — incluyendo restauración de backups, posibilidades de descifrado y activación de continuidad de negocio — mientras preservamos evidencias para potencial intervención de las autoridades.
¿Qué sucede después de que se resuelve un incidente?
Tras la contención y recuperación, Berghem realiza una revisión exhaustiva post-incidente incluyendo análisis de causa raíz, documentación de línea de tiempo, evaluación de brechas de detección y evaluación de efectividad de la respuesta. Entregamos un informe integral del incidente con lecciones aprendidas y un roadmap estratégico de remediación para prevenir recurrencia. Esto incluye playbooks actualizados, reglas de detección mejoradas y recomendaciones de mejoras en la arquitectura de seguridad identificadas durante la investigación.
¿Cuál es la diferencia entre forense digital y respuesta a incidentes?
Son actividades complementarias. La respuesta a incidentes es la acción inmediata para contener, erradicar y recuperar el ambiente durante y justo después del ataque, priorizando la continuidad operativa. La forense computacional es la investigación técnica que reconstruye lo ocurrido — recolección y preservación de evidencias, análisis de disco, memoria, red y nube — y produce un informe pericial admisible. En la práctica, la respuesta contiene el incidente mientras la forense preserva y explica las evidencias para fines legales y regulatorios.
¿El informe pericial sirve como prueba judicial?
Sí, cuando se produce con el rigor adecuado. Berghem sigue la cadena de custodia conforme a la ISO/IEC 27037, con imágenes bit-a-bit, hashing SHA-256 y rastro auditable, y emite un informe pericial firmado por perito judicial. Esto sostiene la validez de la prueba en procedimientos judiciales y administrativos y permite asistencia técnica y testimonio especializado cuando es necesario.
¿En cuánto tiempo responde el equipo a un incidente crítico?
Para incidentes críticos, la respuesta inicial ocurre en hasta 1 hora, con un analista comprometido en hasta 4 horas, en régimen 24/7. Los incidentes de alta severidad reciben respuesta en hasta 4 horas y compromiso de analista en hasta 8 horas. Todo compromiso comienza con triaje rápido para determinar alcance, impacto y prioridades de contención.
¿Berghem apoya la notificación de incidente a la autoridad de protección de datos?
Sí. La LGPD exige comunicar a la ANPD y a los titulares cuando un incidente puede causar riesgo o daño relevante. Berghem apoya la evaluación del incidente, la definición de lo que debe reportarse y la producción de la documentación técnica que respalda la notificación, coordinando plazos y contenido con el equipo legal y el encargado (DPO).

¿Incidente activo?

Si está enfrentando un incidente de seguridad en este momento, contáctenos inmediatamente para activar la respuesta de emergencia 24/7.

Contactar respuesta de emergencia