El alcance y lo que se puede recuperar

Un inventario de archivos renombrados mezcla lo que hizo el incidente con lo que hacen a diario los trabajos programados: rotaciones de respaldo, limpiezas, registros que se archivan. La columna que dice si un trabajo programado lo explica separa el ruido de la huella.

Que un servidor no tenga archivos renombrados, ni notas, y conserve sus copias de sombra es información: dice a qué máquinas llegó el actor y a cuáles no. No se concluye por eso que esa máquina esté limpia, solo que no tiene huella de cifrado.

Tres trabajos escriben cada noche en un repositorio que cualquier cuenta de dominio con permisos podía alcanzar, y ese repositorio también tuvo archivos renombrados. Un respaldo que queda dentro del alcance de quien se mueve por la red no es una copia a salvo. Busca el que quedó fuera de línea.

La fecha de ese respaldo marca hasta dónde se recupera sin depender de nada que estuviera en la red. La diferencia con el primer archivo renombrado del incidente es la ventana de datos que se perdería si fuera el único punto bueno. Cuenta horas completas, sin redondear hacia arriba.

Los respaldos nocturnos son los más recientes y los que menos datos harían perder, pero están en un repositorio que tuvo 215 archivos renombrados esa madrugada y que una cuenta de dominio podía alcanzar. El respaldo mensual está fuera de línea, intacto y tiene más de seis días. La decisión de qué punto se usa no es tuya, pero sí lo es el análisis que la sostiene.