Escenario, la ráfaga de nivel 10 en Distribuidora Aranjuez

La nota de turno habla de una ráfaga y no dice de quién. Antes de decidir si es ruido, hay que saber si es una sola fuente o varias, y si la respuesta activa y la nota hablan de lo mismo.

Una ráfaga contra pocos equipos y una contra casi todos cuentan historias distintas: la primera apunta a un servicio concreto; la segunda, a un barrido amplio de internet. Hay que contar equipos distintos, no alertas.

Entre las alertas de la franja hay una que no es de fuerza bruta: la que dice que una autenticación salió bien. Importa tanto el equipo como lo que pasó justo antes con ese mismo origen.

Después de la autenticación, el módulo de integridad de archivos de ese equipo dejó una alerta. Es el rastro de lo que ocurrió a continuación.

La nota de turno decía «ruido de internet», y la mayor parte lo es: un origen sin dueño probando usuarios inexistentes en muchos equipos, con la respuesta activa bloqueando en los grupos que la tienen. Aparte, un sondeo periódico de otra dirección de la lista, con una cuenta de monitoreo, genera alertas de nivel bajo y tiene una solicitud aprobada. Y en un servidor de datos, que no tiene respuesta activa, ese mismo origen probó una cuenta real, se autenticó y a los pocos minutos apareció un archivo en el directorio de tareas programadas. Hay que escribir el cierre.