Escenario, el incidente de catorce alertas de Vidrios de Boyacá

La alerta de severidad alta habla de actividad en un equipo, pero una historia así rara vez empieza en el equipo. Una persona recibió un mensaje, hizo clic y, poco después, alguien inició sesión con su cuenta de una forma que ella no usa. Hay que encontrar ese inicio de sesión.

En el equipo de la persona hay un proceso que no corresponde a su trabajo: un programa que permite acceder al equipo desde afuera y que se inició desde el navegador, poco después del clic. Hay que leerlo en la tabla de procesos del equipo.

El incidente reúne 14 alertas, pero Defender unió algunas por coincidir en tiempo y en un servidor de archivos que todas mencionan, no porque sean parte de lo mismo. Las que sí son parte de la historia mencionan la cuenta de wpedraza o su equipo. Una de ellas menciona las dos cosas, y no debe contarse dos veces.

Las alertas que no son de la historia podrían ser actividad real de otros, pero antes de escalarlas o descartarlas hay que ver si algún cambio aprobado de la semana las explica. Una de ellas viene de un equipo de taller y de una cuenta que instaló un programa.

Hay una cadena que empieza en un correo entregado y un clic, sigue con un inicio de sesión sin segundo factor desde otra ubicación, descargas de archivos, un programa de acceso remoto, la consulta masiva del directorio, la lectura del servidor de archivos desde un equipo nuevo, archivos comprimidos y un envío de datos a un destino poco habitual. Aparte, tres alertas tienen un cambio aprobado detrás: un análisis de vulnerabilidades programado, un viaje con inicio de sesión remoto y una instalación de un programa de diseño. Hay que escribir el cierre.