El turno del martes en cuatro fuentes

Un intruso que consigue una credencial rara vez la usa en un solo sitio: la prueba donde puede. Por eso una dirección externa que aparece en dos fuentes que nada tienen que ver entre sí (el correo y el almacenamiento, por ejemplo) pesa mucho más que la misma dirección vista en una sola.

Para decidir si una dirección es ajena hay que saber quién es su propietario. Las propias de la empresa no cuentan, y las de una red pública de un hotel o de una cafetería tampoco prueban nada por sí solas.

Una de las primeras cosas que hace quien entra en un buzón ajeno es crear una regla que reenvíe lo que llega y lo esconda de la vista del dueño. La regla sobrevive al cambio de contraseña: mientras exista, el correo sigue saliendo.

Para contener hay que saber exactamente adónde se está enviando, porque ese destino se bloquea en el correo de la empresa y se anota como indicador.

El alcance de una fuga se mide en objetos distintos que salieron, no en eventos del registro. Una misma lectura puede quedar anotada dos veces, y una lectura que la nube denegó no sacó nada: contarlas infla el número que luego se le dice a la dirección y a quien deba ser notificado.

Cuenta solo lo que la nube permitió y cuenta cada objeto una vez.

Un programa que llama a su servidor a intervalos idénticos no se parece a una persona: una persona navega a ráfagas, con pausas largas y desiguales. La regularidad exacta del tiempo es una de las señales más baratas de detectar y más difíciles de disimular para quien no la busca.

El intervalo se calcula restando las horas de conexiones consecutivas del mismo origen hacia el mismo destino, no mirando una sola.

Una conexión del sensor de red trae direcciones, no personas. Para llegar al equipo y a quien lo usa hay que cruzar la dirección interna de origen con el inventario: es el paso que convierte una alerta de red en una llamada que alguien puede contestar.

Antes de dar un nombre, comprueba que la dirección que cruzas es la del origen de las conexiones periódicas y no la de otro equipo que habló con otro destino.