Lo que hizo el portal dentro de la red

Un equipo que atiende a proveedores desde internet tiene una línea base corta: habla con el DNS, con el ERP y con el servidor de actualizaciones. Cuando de pronto abre conexiones hacia muchos equipos internos en pocos segundos, eso se llama barrido, y su tamaño se mide en equipos distintos, no en conexiones. Un mismo equipo puede aparecer en varias filas con puertos distintos y cuenta una sola vez.

En la quincena hay dos barridos. El del escáner de vulnerabilidades de la casa toca más equipos y más puertos que el del portal, y aun así es el que no preocupa. Lo mismo ocurre con la firma que los detecta: es la misma en los dos casos, y una alerta con el mismo nombre no dice si el origen está autorizado. Para decidir hay que mirar quién lo hizo, cuándo y con qué respaldo.

Entre las conexiones del barrido, el portal consiguió iniciar sesión en uno de los servidores internos. Las autenticaciones que ve el sensor traen cuenta, origen, destino y resultado. Una cuenta de servicio tiene un uso predecible: siempre sale de un mismo equipo y llega a otro. Compara con el uso habitual de cada cuenta para saber cuál no encaja.

Una vez dentro del servidor de archivos, el sensor registra qué recursos compartidos se abren y cuántos archivos se leen en cada uno. No guarda el contenido, pero la cantidad y el recurso ya cuentan una historia. Compara la lectura del portal con la de un puesto de trabajo habitual de la empresa y con lo que se le negó.

El registro de archivos es muy concreto: cantidad, hora y origen de la lectura. Eso tienta a decir de más, sobre todo cuando se piensa en lo que salió del portal horas después. Antes de escribir la frase del informe conviene separar lo que el registro demuestra de lo que apenas sugiere.