Contexto antes de bloquear: lo que cuesta equivocarse

Un bloqueo es una acción con costo, y se decide con cuatro preguntas. Alcance: ¿a qué más afecta además del indicador? Dependencias: ¿qué servicio de la empresa lo usa, y cuándo le duele más? Reversibilidad: ¿se deshace con quitar la regla, o deja algo hecho? Evidencia: ¿qué sostiene que ese valor es dañino aquí, no solo en el informe de otro?

Una dirección es el indicador de más alcance posible: en un alojamiento compartido, cientos de nombres responden desde la misma. Un nombre de dominio es más estrecho, y un equipo concreto, más todavía. Cuanto más amplio el valor que se bloquea, más pesa la pregunta del alcance.

Abre la consola. propuesta trae lo que pide la fuente y aloja, lo que vive en esa dirección; el tráfico de siete días del proxy está en trafico_7d. Antes de decidir el alcance conviene saber quién tocó el nombre sospechoso: la fuente dice que la dirección sirve herramientas de una campaña, pero la dirección aloja muchos nombres y no todos son ese.

El SOC no conoce de memoria qué sistemas dependen de cada nombre: eso lo sabe el negocio, y está en dependencias. La pregunta no es si el nombre es malo, sino qué se rompe si el bloqueo llega a un nombre que no lo es y que comparte dirección con el que sí.

Tienes cuatro respuestas posibles en respuestas, con su alcance y su costo. La buena no es la más tajante ni la más pasiva: es la que corta lo que hay que cortar y deja lo demás en pie. Y recuerda que cortar el contacto no es lo mismo que investigarlo: el equipo que lo pidió sigue siendo una pregunta abierta.

Son las 10:30. La jefatura de TI insiste: la fuente es de pago, bloquear se deshace quitando la regla y «no pasa nada por una tarde». Pero el cierre de facturación es mañana a las 17:00 y ya sabes qué depende de esa dirección.