Lo que salió de noche

Tres alertas de subida: una de decenas de gigabytes, otra de casi dos y otra de cuatro subidas pequeñas. La tentación es empezar por el número más grande, y por eso es una trampa: las dos grandes tienen explicación escrita en los cambios y caen dentro de su ventana. Lo que no tiene explicación, y sale de un equipo con un caso ya abierto, es lo pequeño.

La severidad la pone una regla que mira volumen; el analista pone el criterio que mira contexto.

La exfiltración lenta sale en trozos del tamaño del tráfico normal, hacia un destino que parece un servicio de nube cualquiera. La alerta menciona la dirección de destino; los flujos dicen además qué nombre pidió el cliente, por qué puerto y cuántas veces. Esa dirección, y no el nombre, es lo que se bloquea en el cortafuegos y se busca en otros registros.

Anotar el destino exacto es lo que permite que otro turno compruebe si otros equipos hablaron con él.

Las subidas son cuatro conversaciones de unos minutos cada una, espaciadas más de una hora. Ninguna alcanza nada que parezca grande, y por eso el total no sale en ninguna alerta: hay que sumarlo. La unidad es megabytes y se suman solo las subidas hacia ese destino, no la lectura que el equipo hizo de un servidor ni lo que bajó.

Un hallazgo cuantificado es otra cosa: «subió datos» se convierte en una cifra que quien decide puede pesar.

Una subida necesita primero tener algo que subir. Poco antes de la primera de las cuatro, el mismo puesto leyó una cantidad enorme de datos de otro equipo por el protocolo de archivos de Windows, algo que ningún cambio explica a esa hora. El servidor del que lee es la fuente de lo que luego sale, y quien responde por él debe saberlo.

Seguir la dirección del flujo hacia atrás, de lo que sale a lo que se leyó, es el pivote que convierte una subida en una historia.

Cada una de las cuatro subidas es de unos 40 MB y la suma del día queda por debajo de los 300 MB que la línea base permite a un puesto de oficina. Una regla de volumen no la ve. Lo que la delata no es el tamaño sino la forma: horas en que nadie trabaja, intervalos regulares, un destino que ninguna otra persona usa, ninguna descarga a cambio y una lectura enorme del servidor justo antes.

Detectar lo lento exige mirar el conjunto, porque cada pieza por separado cabe dentro de lo normal.