Windows no es otro planeta

Hay una división en el trabajo real que conviene entender pronto:

Los servidores suelen ser Linux. Lo que sirve páginas web, lo que guarda bases de datos, lo que corre en la nube. Ahí has estado practicando.

Los equipos de las personas suelen ser Windows. El portátil de contabilidad, el de recepción, el de la coordinadora de la clínica.

Y aquí está lo que importa: la mayoría de los ataques a una empresa no empiezan en el servidor. Empiezan en un portátil. Alguien abre un archivo adjunto, alguien conecta una memoria USB, alguien entra a una página. Desde ahí se salta al resto.

Así que quien defiende una organización no puede elegir un mundo. El atacante entra por Windows y acaba en Linux, o al revés.

La buena noticia es que casi nada de lo que aprendiste cambia. Los conceptos son los mismos; cambian las palabras y la forma de escribirlos.

Y hay dos diferencias de fondo que sí importan:

Los permisos son más detallados en Windows. Donde Linux tiene tres tríos —dueño, grupo, todos— Windows tiene listas donde cada usuario o grupo puede tener permisos distintos y muy específicos. Más flexible y más fácil de configurar mal.

El registro de Windows. Es una base de datos central de configuración, sin equivalente en Linux, donde el sistema y los programas guardan cómo están ajustados. Es un sitio favorito para esconder cosas que quieren sobrevivir a un reinicio.

Windows también apunta lo que pasa, y de hecho lo apunta con más detalle que Linux por defecto. Lo llama Visor de eventos, y cada suceso tiene un número.

No hace falta memorizar números, pero hay tres que verás en cualquier sitio donde se investigue algo:

• 4624 — alguien inició sesión correctamente
• 4625 — alguien falló al iniciar sesión
• 4688 — se creó un proceso nuevo

Fíjate en lo que son: exactamente los mismos hechos que leíste en auth.log. Un acceso correcto, un intento fallido, un programa que arranca. Mismo oficio, otro formato.

Y el mismo razonamiento sirve: cuatro 4625 seguidos desde el mismo sitio es fuerza bruta. Un 4688 de un programa que corre desde una carpeta temporal es lo que encontraste con ps.

Ahí está la idea que cierra esta sala: no estás aprendiendo Linux. Estás aprendiendo a mirar sistemas. Los comandos se buscan en dos minutos; saber qué preguntar, no.