Volumen y destino de las descargas

El volumen aislado engaña: una descarga grande puede ser el trabajo de un lunes. La hora aislada también: alguien puede trabajar de noche por una entrega. El destino aislado, igual. Lo que da peso a un caso es que varias señales coincidan: mucho más de lo habitual, fuera del horario de la persona y en una sola sesión.

Tampoco todas las señales pesan igual para la misma pregunta. El volumen y la hora se miran en el servidor de archivos y en la VPN; el destino dice hasta dónde llegó el archivo, y eso se lee con cuidado: que algo llegue al portátil de la empresa no es lo mismo que salir de ella.

Abre la consola. Ejecuta SELECT * FROM linea_base para ver lo que es típico de la cuenta y SELECT * FROM descargas para ver sus ocho descargas de la semana. Después SELECT * FROM descargas WHERE mb > 100 deja solo las de más de cien megabytes. En un caso se distingue «muchos archivos» de «muchos megabytes»: no siempre es la misma descarga.

Ejecuta SELECT * FROM horario y SELECT * FROM redes. El horario de la cuenta termina a una hora fija. La VPN corporativa es una red legítima: usarla no es sospechoso en sí mismo, pero sí lo que se hace con ella a una hora en que la persona no trabaja. Suma los megabytes de las descargas que ocurrieron después de que terminara su horario laboral.

La columna destino dice dónde terminó cada archivo. Todas las descargas de la semana siguen la misma regla: del servidor de archivos al disco del portátil que la empresa asignó a esa cuenta. Eso es lo que se sabe. Lo que no se sabe es qué pasó después con esos archivos.