Del registro al recorrido

Una red de oficina es muy repetitiva: los mismos equipos hablan con los mismos servidores, por los mismos protocolos, todos los días. La tabla pares_habituales guarda esa costumbre: cuántas veces en 30 días se vio cada combinación de origen, destino y protocolo. Un cero es un camino que nadie había recorrido.

Un par nuevo no es, por sí solo, una intrusión: puede ser una persona nueva, un servidor nuevo o un cambio de trabajo. Es una razón para mirar, y se pesa mejor cuando varios pares nuevos se encadenan.

Abre SELECT * FROM eventos y ordénalos por hora. Hay actividad normal mezclada: un inicio de sesión de la tarde, un acceso de la bodega que sí tiene historia, una sesión desde el equipo de salto. El recorrido empieza en el primer evento cuyo par no tiene historia, y su origen es el punto de partida que se anota.

El tamaño del recorrido se mide en pasos. Cuenta los eventos de la cuenta ocastillo desde las 19:00 cuyo par origen-destino-protocolo tiene cero veces en la línea base. Ojo con las dos trampas: la sesión que ocastillo abrió desde el equipo de salto sí tiene historia, y el inicio de sesión desde el puesto de gerencia también la tiene, aunque la cuenta no suela usarlo.

Para cruzar, el protocolo del evento (fuente) debe coincidir con el protocolo de pares_habituales.

El recorrido se lee como una cadena: cada destino pasa a ser el origen del paso siguiente. Del puesto de gerencia se llega al servidor de documentos; de ahí, por escritorio remoto, a otro servidor; de ese último, al controlador de dominio. En el medio, el servidor al que se llegó por RDP desde el servidor de documentos es el segundo salto de la cadena.

La cuenta ocastillo es del administrador de TI y aparece en todo el recorrido. Pero también aparece, esa misma noche, en una sesión normal desde el equipo de salto. La red prueba que esa cuenta se usó desde ese puesto y por esos caminos nuevos. No prueba quién estaba al teclado, ni si la cuenta fue robada o su dueño decidió trabajar así. Esa distinción es la que separa un informe sólido de uno que acusa.