SMB — recursos compartidos y quién los abre

En un servidor Windows conviven dos clases de recurso compartido. Las carpetas de trabajo (Diseno, Compras, Nomina) existen porque alguien las creó para un equipo. Los recursos administrativos (ADMIN$, IPC$, y las unidades como C$) existen en cada equipo y sirven para administrar: ADMIN$ apunta a la carpeta del sistema, e IPC$ no guarda archivos, sino que es el canal por el que viajan las llamadas de administración remota a través de «tuberías».

Que una estación de trabajo abra ADMIN$ en un servidor no es lo normal de ningún día de oficina: es lo que hace una herramienta de administración, legítima o no.

Abre SELECT * FROM smb_accesos y SELECT * FROM acceso_esperado. La segunda tabla dice quién debería abrir cada recurso; lo que no coincide es lo que se mira. El recurso ADMIN$ solo lo debería abrir el equipo de salto de TI. Hay una escritura en ADMIN$ de un servidor desde otro equipo.

Un acceso puede estar bien autenticado y aun así estar fuera de lugar: la cuenta existe, la contraseña es la suya, pero esa carpeta no es de su área. La tabla acceso_esperado es la referencia. Cruzar quién abrió qué contra quién debería abrirlo es el análisis más básico de SMB y el que más hallazgos da.

Una cuenta que lee recursos de otro departamento no demuestra por sí sola que sea ella quien está al teclado: demuestra que esa cuenta, desde ese equipo, lo hizo.

El tamaño de lo leído separa un tropiezo de una recolección. Un archivo suelto abierto por error pesa poco; varias planillas seguidas, una detrás de otra en menos de un minuto, es una lectura deliberada de todo lo que había. Suma los bytes de las lecturas del usuario que no debía estar en ese recurso, solo en ese recurso: las lecturas de quien sí estaba autorizado no cuentan.

El mismo equipo aparece, a las 14:07, escribiendo un archivo en ADMIN$ de un servidor y 27 segundos después abriendo la tubería de administración de servicios en ese mismo servidor. Ninguna de las dos cosas, sola, prueba nada; juntas, y desde una estación, en ese orden, cuentan una historia concreta: alguien dejó un archivo en el servidor y pidió que se administrara un servicio. El registro no dice qué contiene el archivo ni qué servicio: solo que ocurrió y quién lo pidió.