El acceso previo — qué dicen los registros días antes

Una VPN registra de dónde llega cada sesión. La cuenta de un usuario suele llegar desde pocos orígenes: su casa, la oficina del proveedor. Una sesión desde un origen que no figura en su historial, y más aún si va precedida de intentos fallidos, no prueba una intrusión pero es la señal más temprana que se puede leer.

El archivo de historial lista los orígenes habituales de cada cuenta. Cruza cada acceso del registro con él, cuenta por cuenta.

La dirección de origen es un dato de investigación, no de venganza: sirve para buscar si esa dirección tocó otras cuentas, para pedir su bloqueo a quien corresponda y para el informe. Aquí las direcciones son de un rango de documentación y no pertenecen a nadie.

Mira bien el patrón antes del acceso correcto: tres intentos fallidos seguidos desde la misma dirección y, después, el acceso. Dice más que cualquier descripción: alguien probó hasta que entró.

Con la sesión VPN, la cuenta recibe una dirección interna y desde ahí abre un escritorio remoto en un equipo de la red. Las cuentas de proveedor suelen tener un equipo de trabajo propio: usar otro es lo que delata. El inventario dice para qué sirve cada equipo y el historial dice dónde estuvo antes el proveedor.

Cuando una cuenta entra a un equipo donde no tiene motivo, la dirección interna asignada por la VPN sirve para seguirla en los registros de Windows.

El domingo, a las 02:34, el registro de seguridad local del servidor de archivos fue borrado: el evento 1102 lo anota. El registro local quedó con una sola línea, la del propio borrado. Es lo que se espera de quien quiere dificultar la reconstrucción.

Pero un registro que el servidor reenvía a otro sistema deja copia fuera de su alcance. Mira qué conserva el SIEM y cómo cambia lo que se puede afirmar.