Caso final — Nimbo Salud

En la cola hay cinco alertas y ninguna trae una etiqueta que diga «esta es». El método no es ir a la que suena peor ni a la que salta más veces: es triar cada una por igual, con su contexto, y dejar que la evidencia decida el cajón. La alerta ruidosa suele ser la inofensiva —una regla amplia dispara mucho—, y la peligrosa suele ser la callada, un solo evento limpio que no cuadra. Empezar por el volumen es el atajo que este caso existe para desmontar.

Revisar las cinco con el mismo criterio es lo que te deja llegar a la que importa sin que nadie te la señale. No hay orden privilegiado por el número de disparos: hay orden por lo que sostiene cada evidencia.

La primera que revisas es «transferencia grande de datos al exterior» desde el servidor nim-img01, disparada cada noche esta semana. Al mirar, es el envío del archivo de imágenes médicas al almacenamiento de respaldo contratado, a la misma hora y con el mismo destino cada noche. La regla salta por el volumen, pero la salida indebida que vigila no ocurre: es la copia de seguridad de siempre. Falso positivo, y una nota para que la regla excluya esa ventana y ese destino.

Que sea la que más ha saltado no la vuelve importante: la vuelve candidata a afinar la regla. Descartarla bien es quitarla de la cola con su razón escrita, no ignorarla.

Dos alertas más. Una: rcastro, de enfermería, se conecta un sábado de madrugada desde su equipo habitual y con su segundo factor, y hay un turno nocturno registrado a su nombre. Ocurrió, y era legítimo: benigno. Otra: la cuenta tsoto acumula sesenta fallos de contraseña desde un origen externo… y ni uno acierta; la cuenta quedó bloqueada por el sistema tras los intentos. Fue un ataque de fuerza bruta real, pero fracasó: se anota y se vigila el origen, no se escala como compromiso porque nadie entró.

Ninguna de las dos es el incidente que buscas. El benigno se cierra; el intento fallido se documenta como intento. Confundir «lo intentó y no pudo» con «entró» te haría escalar un compromiso que no existe y perder el que sí.

Queda la alerta callada: la cuenta dpineda, de administración, registra un inicio de sesión limpio —correcto a la primera, sin un solo fallo— a las 02:50, desde un país donde Nimbo no tiene sedes ni personal. dpineda entra siempre desde la clínica central en horario de oficina; media hora antes, de hecho, hay una sesión suya normal desde allí. Credenciales correctas, viaje imposible entre los dos orígenes: son dos manos usando la misma credencial. Es uso de cuentas válidas, y es el incidente real de la cola.

Esta es la que se escapa al que persigue ruido: un único evento, exitoso y silencioso, sin fallos que llamen la atención. Lo que la delata no es un error, sino un contexto imposible frente al patrón normal de la cuenta. Se escala, y solo esta.

Cierras el turno con el reporte. Escalas solo el incidente de dpineda, con severidad alta: los hechos con su hora (sesión normal desde la clínica y, 30 minutos después, sesión externa desde un país sin sedes, ambas correctas), separando lo observado de tu conclusión (uso de cuentas válidas), y pidiendo una acción concreta —deshabilitar la cuenta y forzar el cambio de credenciales—. El indicador reutilizable es el origen externo desde el que entró la sesión imposible, para que otros equipos lo busquen. Las otras cuatro alertas quedan documentadas en su cajón: no se escalan, pero constan.

Si llegaste hasta aquí sin que nadie te dijera cuál era, escalando solo la real y dejando el reporte que otro puede accionar en un minuto, el método de la ruta ya es tuyo.

De las cinco alertas, la que se escala es un acceso limpio con viaje imposible. En su fila está el origen externo desde el que entró esa sesión: el indicador reutilizable que llevas al reporte para que otros equipos lo busquen en sus registros.