Escenario, tres eventos en la Cooperativa Cafetera Alto Nariño

La alerta de la noche dice que una cuenta se conectó desde una dirección que no es la suya. Una alerta baja se puede cerrar por costumbre, y una alerta baja es a veces el primer eslabón de algo más grande. Antes de decidir, hay que saber cuál es la dirección y qué hizo la cuenta después.

Ni la dirección nueva ni el inicio de sesión bastan para hablar de una fuga. Lo que cambia la lectura es lo que hizo la cuenta en el servidor de archivos, hacia dónde fue y con qué programa. En la misma noche otras cuentas también crearon archivos comprimidos por motivos del oficio, y cada uno tiene su dueño y su hora.

Un archivo comprimido solo es un archivo. Lo que dice si salió algo es un evento de red de ese mismo servidor, con volumen y destino. Hay varias transferencias grandes en la noche, y no todas son del mismo origen ni tienen la misma explicación.

El volumen es lo primero que preguntan quienes deciden si hay que avisar a alguien: cuánto es, a dónde fue y cuánto de eso es de la cuenta y cuánto no. La cuenta de la alerta hizo más de una transferencia hacia el mismo destino externo. Cada evento trae sus bytes.

Hay una alerta baja por una dirección nueva. Una cuenta con una sesión que empezó en esa dirección, un archivo comprimido en el servidor de archivos y una transferencia grande a un destino externo que nadie pidió. Y, aparte, otra cuenta de servicio con un archivo comprimido y dos transferencias grandes, una interna y otra externa con una solicitud aprobada que la respalda. Hay que escribir el cierre.