Comprobar compromiso previo, leer los registros del aparato

Una actualización corrige la falla que permitió entrar. No deshace lo que la persona atacante hizo si entró antes: una cuenta nueva sigue existiendo, un cambio en la configuración sigue puesto, una puerta trasera instalada sigue abierta. Por eso, en un aviso con explotación conocida, el cierre del trabajo no es «versión nueva instalada»: es «versión nueva instalada y sin actividad previa en los registros».

El fabricante suele publicar indicadores: orígenes, nombres de cuentas, comportamientos. El analista los compara con lo que el aparato guardó. Y debe saber también lo que no puede decir: si el aparato solo guarda 14 días y la explotación empezó antes, la ausencia de rastros no prueba que no pasó nada.

Abre indicadores.txt y registro-vpn.csv. El aviso nombra dos orígenes. Cada fila del registro dice desde qué origen se hizo el evento. Contar las filas que coinciden con cualquiera de los dos orígenes da una idea de cuánta actividad hubo; los eventos se examinan uno a uno después.

La primera fila que coincide con un indicador marca el inicio de lo que hay que investigar: de ahí hacia adelante se mira qué cambió, qué se creó y qué se llevaron. No es el inicio de la intrusión, solo el inicio de lo que el registro conserva; si hubo actividad anterior, ya rotó.

Anota la fecha y la hora completas, tal como aparecen en la tabla.

Una cuenta local nueva en un aparato de borde, creada fuera de la ventana de cambios, es uno de los indicadores más claros. Cruza los nombres de usuario de registro-vpn.csv con cuentas-autorizadas.csv: todo nombre que aparezca en el registro y no figure en la lista es una cuenta que nadie del equipo reconoce.

Fíjate en que el cambio de configuración y la creación de la cuenta ocurrieron en la misma sesión que usó una cuenta administradora legítima desde un origen del aviso: la credencial legítima también quedó en duda.

La lectura encontró actividad que coincide con los indicadores. Lo que se hace a continuación importa tanto como lo encontrado. El impulso es «restablecer el aparato de fábrica y empezar de cero», pero eso destruye la evidencia que el equipo de respuesta necesita para saber qué se hizo, cuándo y qué se llevaron. El volcado de registros es, además, la única copia: no llega al SIEM.