Primera señal, lo que la hacía discreta

Una señal discreta no es una señal débil: es una señal que encaja con lo esperado. Un inicio de sesión remoto de una cuenta conocida, dentro del horario en que esa cuenta suele trabajar y sin intentos fallidos antes, no deja ninguna de las huellas que una regla suele buscar. Lo único que se sale del patrón es el origen, y por eso la regla le dio severidad baja.

A eso se suma el contexto de la cola. En una noche con seis alertas, la que parece más del montón se cierra con el primer motivo razonable que aparece, y un motivo razonable casi siempre existe. El cierre dice «proveedor en su horario» y es verdad: el horario sí era ese. Lo que no se comprobó es si el que estaba al otro lado era el proveedor.

Las cuentas de proveedor suelen tener excepciones: un horario, un origen o, a veces, la dispensa del segundo factor porque el proveedor no puede instalar la aplicación. Una excepción es legítima mientras tenga ticket, dueño y fecha de fin. Cuando no tiene fecha de fin, se vuelve una puerta permanente que nadie vuelve a mirar.

Abre la consola y ejecuta SELECT * FROM cuentas_proveedor. Una de las dos cuentas tiene el segundo factor exento.

Una credencial que no cambia da tiempo a que aparezca en una filtración, en una página falsa o en un equipo ajeno. No se sabe cuál fue el camino de esta, y la lectura de las tablas tampoco lo dice; lo que sí se puede medir es cuánto llevaba sin cambiar cuando se usó. Es un dato que luego entra al informe como factor y no como causa.

Cuenta los días entre el último cambio de clave de la cuenta del proveedor de mantenimiento y el martes 2 de marzo de 2027. Febrero de 2027 tiene 28 días.

Una alerta aislada se puede explicar; dos de la misma cuenta en media hora ya cuentan una historia. La regla de origen no habitual y la de consultas de directorio saltaron por separado, con dos severidades bajas, y nadie las unió porque una se cerró y la otra se quedó esperando al turno de la mañana.

Filtra la cola con SELECT * FROM alertas WHERE cuenta = 'prov-mantto' y mira la que sigue sin cerrar.

Releyendo la cola con el resto de la historia en la cabeza, la primera alerta no debería seguir cerrada. Pero un analista no puede llamar «intrusión» a lo que todavía es una sospecha: puede reabrir, unir las dos alertas, pedir confirmación al proveedor por un canal que no sea el que aparece en la propia alerta y subir la severidad con el motivo escrito.