Alcance, a quién más llegó

El punto de partida del alcance es el inventario: qué equipos tienen la versión sospechosa y desde qué momento. Los equipos con la versión anterior quedan fuera de la lista inicial (sin olvidar que otro mecanismo podría tocarlos, pero esa es otra pregunta).

Ejecuta SELECT * FROM equipos. Mira la versión y la fecha de instalación de cada uno.

Un equipo se descarta cuando hay registro que cubre su ventana y en él no aparece el destino nuevo. Si no hay registro, o si empieza después de la instalación, no se descarta, aunque no haya nada visible: simplemente no se sabe. Entran, por tanto, tres grupos: los que mostraron el destino, los que no tienen registro y los que tienen un registro que no cubre su instalación.

Ejecuta SELECT * FROM equipos y cuenta los equipos con la versión nueva que no se pueden descartar.

Ese tercer grupo es el que más se pasa por alto, porque en la tabla parece limpio: «no se ve la conexión». Pero el registro del cortafuegos para ese equipo empieza después de que se instaló la versión, de modo que cualquier conexión de las primeras horas no habría quedado anotada.

La ventana de exposición es el tiempo entre que la versión estuvo disponible y el momento en que se vio el comportamiento. Importa para saber qué buscar hacia atrás (otros equipos, otros registros) y para medir cuánto tarda el SOC en ver cosas que vienen de una fuente de confianza.

Ejecuta SELECT * FROM linea_de_tiempo. Calcula los minutos entre la publicación de la versión nueva y la primera conexión observada al destino nuevo.