Verificar la erradicación con los indicadores del análisis

La guía SP 800-83 advierte que la erradicación suele ser frustrante: aparecen reinfecciones y equipos que se escaparon durante días o semanas. Por eso pide repetir la identificación periódicamente para saber cuántos equipos siguen infectados, y no dar el incidente por resuelto solo porque la cifra bajó mucho.

Para buscar, el análisis entrega indicadores de distinta dureza. Una huella de archivo identifica exactamente un archivo, y por eso mismo deja de servir con cualquier cambio en él. Un dominio o el nombre de una tarea programada aguantan más. Un comportamiento (qué proceso lanza qué y qué deja escrito) es lo más caro de cambiar para quien escribió la muestra. Verificar solo con la huella es verificar solo contra la versión que ya se conoce.

Abre el laboratorio. SELECT * FROM erradicacion trae la lista con la que se dio por terminada la erradicación. SELECT * FROM barridos trae lo que encontraron los barridos posteriores, indicador por indicador.

Un equipo con coincidencias que no figura en la lista de erradicación es la peor noticia y la más útil: el alcance era mayor de lo que se creía.

En ese equipo coinciden tres indicadores y no coincide el de la huella. La explicación está en el resultado del barrido de la tarea programada: la tarea es la misma, pero arranca otro archivo. Es exactamente la situación de la tarea 1, vista en datos reales del caso.

La respuesta a «¿ya terminó?» no se improvisa: se fija antes de erradicar, para que nadie la ajuste al resultado que le conviene. Cordobán la escribió el martes 16. SELECT * FROM plan_de_cierre la trae, y los barridos dicen cuándo fue la última coincidencia.

Un barrido solo ve los equipos que tienen el agente y están encendidos. Si un equipo está apagado o no tiene agente, el barrido no dice que esté limpio: no dice nada de él. SELECT * FROM cobertura trae un extracto del inventario.