El registro que alguien tocó

La sala anterior distinguía dos lecturas de un vacío: «no pasó» y «no se grababa». Hay una tercera: «se grabó y alguien lo borró». Un adversario que sabe que deja rastro intenta quitarlo —vacía un registro, lo trunca, desactiva la fuente justo cuando actúa—. Ese vacío no es inocente: es parte del ataque. El cazador maduro no da por bueno ningún silencio sin preguntarse cuál de las tres causas lo explica.

Confundir un borrado con una fuente apagada es grave en la dirección opuesta a la de la sala anterior: allí el riesgo era cantar «limpio» sobre un punto ciego; aquí es cantar «punto ciego de configuración» sobre lo que en realidad es la firma de un intruso cubriendo su rastro.

Borrar un registro no es invisible. Dejar un registro a cero suele dejar su propia marca: un evento de «registro limpiado», un archivo de log que de pronto arranca en blanco a una hora exacta, una fuente que se desactiva y se reactiva en minutos alrededor de la actividad sospechosa. El hueco de un borrado tiene bordes nítidos: empieza y acaba en momentos concretos que coinciden con la ventana del incidente, no con un fallo de configuración de hace semanas.

Por eso el borrado se caza como cualquier conducta: por su forma. Un registro que se vacía justo en la franja donde esperabas la huella, y solo ahí, cuenta una historia distinta a la de una fuente que llevaba meses sin grabar.

La diferencia entre apagado y borrado está en la forma del hueco y en su coincidencia. Una fuente mal configurada lleva ciega mucho tiempo: el hueco es amplio, viejo, sin relación con ninguna actividad concreta. Un borrado es quirúrgico: el hueco rodea justo la franja sospechosa y a menudo deja el rastro de la propia acción de limpiar. Uno es un problema de higiene que se arregla configurando; el otro es un indicador de compromiso que se escala.

La pregunta que separa los dos es «¿el hueco coincide con lo que esperaba encontrar?». Si la ceguera es general y antigua, es configuración. Si es justo donde y cuando la hipótesis predecía la huella, el propio borrado es la confirmación.

Cuando el hueco es un borrado, el cierre no es «punto ciego de telemetría que hay que configurar»: es «indicador de compromiso». Significa que alguien con acceso tocó los registros para esconderse, y eso escala el incidente —hay actividad del adversario confirmada aunque la huella original se perdiera—. El propio acto de borrar es telemetría: se reporta con su hora, su máquina y su cuenta, y pasa a la respuesta a incidentes.

Tratar un borrado como mera configuración desperdicia la confirmación más fuerte que puede dar una caza: la de que el adversario estuvo lo bastante dentro como para limpiar tras de sí. El vacío fabricado no baja la gravedad; la sube.

Abre el laboratorio de integridad de registros. Dos estaciones de Brío muestran un vacío en la misma ventana. En una, el registro lleva meses sin grabar por una mala configuración —hueco amplio y viejo, sin relación con el incidente—. En la otra, el registro se vació a una hora exacta dentro de la franja sospechosa y quedó el evento de limpieza: eso es un borrado. Aísla la estación cuyo registro fue borrado y lee su ficha hasta el final.