Estrategias de contención: aislamiento, segmentación y cuándo observar antes de actuar

La contención limita el daño de un incidente e impide que se propague, lo que da tiempo para la erradicación y la recuperación. La estrategia correcta depende de lo que está haciendo el atacante, de qué tan críticos son los sistemas afectados y de cuánto te falta por aprender. El NIST sugiere sopesar el daño potencial y el robo de recursos, la necesidad de preservar evidencia, la disponibilidad del servicio, el tiempo y los recursos necesarios, la efectividad de la estrategia y cuánto debe durar la solución, por ejemplo un bloqueo temporal de horas frente a un cambio permanente.