Viernes 09:40 — las alertas y el equipo que las reúne

Una cola de alertas es una lista de direcciones, firmas y horas. Antes de leerlas una a una, conviene preguntarse qué dirección interna se repite entre las que importan, porque un mismo equipo en alertas de tipos distintos suele ser el hilo de una sola historia. Las alertas traen direcciones, no nombres: el nombre sale del inventario de Tolosa.

Cruza la cola de alertas con el inventario y quédate con el equipo interno que aparece, como origen o como destino, en las alertas de acceso, de DNS, de barrido, de cuenta de servicio y de volumen.

Hay diez alertas en tres días, con severidades distintas y estados distintos. Quien las lee puede ordenarlas de muchas maneras, y la manera elegida decide si se ve una historia o diez avisos sueltos. Una sola alerta, por grave que se llame, rara vez dice por sí sola qué pasó; varias que se repiten en un mismo equipo y en una secuencia de horas sí.

Decide cómo las ordenarías antes de tocar ninguna. Piensa en quien dirige el caso y necesita saber por dónde empezar y qué contar.

Una alerta cerrada sin ticket no deja rastro de por qué se cerró: ni quién, ni con qué razón. En esta cola hay varias, y no todas son del mismo equipo. La que importa para el caso es la primera de ellas que toca el equipo de la primera tarea, porque es donde la historia pudo cortarse antes. Las demás pueden ser ruido que no tiene que ver.

Filtra por estado y, después, fíjate en el origen y el destino de cada una.

El sensor guarda las horas en UTC; Tolosa vive en UTC-5, sin horario de verano, y el informe se escribe en hora local para que lo entienda quien estaba en la empresa. En el registro de accesos al portal hay una ráfaga de fallos seguidos que acabó en un inicio de sesión correcto. El primer fallo de esa ráfaga es el primer rastro de la intrusión, y su fecha local puede caer en el día anterior.

Con las alertas y los accesos del portal ya tienes una secuencia: fallos, un acceso correcto, un dominio nuevo, un barrido, una cuenta de servicio y un volumen saliente, todo en el mismo equipo. Es un buen caso, pero una alerta es una opinión de una regla sobre el tráfico, no una prueba del contenido de nada. Lo que se afirme al principio del informe tiene que aguantar si mañana aparece una evidencia distinta.