Fuentes de un canal digital

El WAF ve peticiones y direcciones, pero no sabe quién es el cliente. La pasarela de la API ve llamadas con un identificador de sesión. El servicio de autenticación ve el inicio de sesión, el factor y el dispositivo. El motor antifraude ve un puntaje. El núcleo ve el asiento contable, y nada de lo anterior.

Quien investiga arma la cadena uniendo esos pedazos con una llave común: el identificador de sesión donde existe, la referencia de la transacción donde existe, y la hora con una tolerancia de segundos donde no hay otra cosa. Una fuente ausente deja un hueco que hay que declarar.

Saber si el cliente usó el dispositivo de siempre o uno nuevo cambia la lectura de toda la sesión. Esa pieza no está en el WAF ni en el núcleo: la guarda una sola fuente. Conocerla evita pedirle a un equipo un dato que no tiene.

Ejecuta SELECT * FROM fuentes y lee la columna que_registra.

Una fuente que no llega al SIEM es una detección que no existe: nadie puede alertar sobre lo que no recibe. Antes de buscar nada, el analista lista qué fuentes faltan y qué pregunta dejan sin responder.

Ejecuta SELECT * FROM fuentes WHERE en_siem = 'no'. Son dos filas: una guarda un puntaje de riesgo por operación.

Dos sesiones de la mañana están mezcladas en la misma exportación. Una es una consulta de saldo de rutina; la otra suma un dispositivo nuevo, un beneficiario nuevo y una orden de transferencia en pocos segundos. El identificador de sesión separa una de otra.

Ejecuta SELECT * FROM sesion_ejemplo y busca la sesión con alta de beneficiario seguida de una orden de transferencia.

La velocidad también es evidencia. Un cliente que revisa su saldo y luego da de alta a un beneficiario y transfiere lo hace con calma; una sesión nueva que llega a la orden en menos de dos minutos merece que alguien mire la operación.

Ejecuta SELECT * FROM sesion_ejemplo WHERE id_sesion = 'SES-20481' y toma las horas del inicio de sesión y de la orden de transferencia.