El latido del miércoles

Que algo se repita cada cinco, diez o quince minutos describe un reloj, no una intención. Un antivirus que pregunta por actualizaciones o un proveedor que monitorea un sistema también son relojes, y están en la línea base. Lo que separa un latido legítimo de uno ajeno son otras cuatro cosas: si el destino está documentado, si la huella de TLS la comparte el producto conocido, si el certificado tiene historia y desde cuándo ocurre.

La regularidad es la forma del latido; la evidencia que lo condena o lo absuelve está en todo lo demás.

Aunque el contenido vaya cifrado, el cliente dice en claro a qué servidor quiere hablar. Ese nombre es el indicador que otro equipo puede buscar en sus propios registros para ver si el mismo canal aparece en otra parte. Escribirlo exactamente, y no una descripción del síntoma, es lo que lo hace útil.

Un indicador es útil si es concreto, verificable y reutilizable: el nombre pedido lo es, la frase «tráfico raro» no.

El primer latido es el dato que más ayuda a reconstruir la historia: desde cuándo ocurre fija el principio de la ventana en la que hay que mirar, y cuánto lleva activo da la medida del problema. La tabla de periodicidad guarda, para cada pareja de origen y destino, la hora de la primera conexión registrada.

Un incidente sin hora de inicio no se puede ordenar con otros hechos, y los demás hallazgos de la semana se acomodan a esa hora.

La dirección del latido no es la primera vez que aparece en la semana. Cuando una dirección externa aparece en dos sitios distintos, vale la pena preguntarle a cada registro qué hizo con ella: aquí, el registro de tráfico en claro guarda lo que un equipo pidió a esa dirección sin cifrar. Ese archivo, si existe, es la pieza que conecta con la alerta del lunes.

Atar dos evidencias por la dirección que comparten es un pivote: no prueba por sí solo que sean lo mismo, pero decide qué se comprueba a continuación.

Hay un archivo descargado el lunes a las 08:49 y un latido que empieza ocho horas después, hacia la misma dirección. Eso sostiene una hipótesis: el programa se descargó y se ejecutó más tarde. No es un hecho comprobado: ninguna de las dos piezas muestra qué hizo el archivo dentro del equipo. Un informe honesto distingue lo observado en la red de lo que se infiere y de lo que falta por comprobar en el propio equipo.

La red muestra qué se descargó y con quién habla ahora el equipo, no el contenido ni la ejecución.