Escenario — una clave de acceso de Trilladora La Mojana

Una de las claves de acceso aparece usada, de madrugada, desde un continente que no figura entre los orígenes de esa cuenta en los días anteriores. Las direcciones se ubican con la tabla ubicacion_ip, que es aproximada.

Ese usuario usaba siempre una dirección de la sede. Esa madrugada aparece otra, y por unos minutos las dos coexisten.

Desde esa dirección hubo intentos de escribir que AWS rechazó y una escritura que sí se aceptó, hecha sobre otro usuario de la cuenta. Un error no es un cambio, pero una petición aceptada sí.

El bucket de liquidaciones sí tiene registrados sus eventos de datos. Desde esa dirección se leyeron objetos de él, uno por fila.

La única alerta de la ventana tiene gravedad baja. El registro de flujo de la VPC no muestra tráfico con la dirección nueva. El inventario de IAM muestra ahora dos claves activas para un usuario de informes, y una nació esa madrugada. Falta decidir cómo se escribe el caso.