Escenario: un cuaderno con un error silencioso en la unión de tablas

Un analista presentó un reporte concluyendo que ningún usuario había accedido a recursos restringidos fuera de horario. Al revisar el cuaderno, el equipo descubrió que había ejecutado pd.merge(telemetria, empleados, on='user_id'). Dado que los atacantes crearon dos usuarios no catalogados en el Active Directory de contratistas, el inner merge por defecto de pandas eliminó silenciosamente ambos registros de la vista final, ocultando el compromiso.

Confirma el valor que aparece en la columna merge_status para las filas perdidas en la tabla df_merged_audit.

Lección tras el caso {#leccion}

El uso de lenguajes como Python y bibliotecas como pandas otorga al cazador un poder analítico y estadístico ilimitado frente a las limitaciones de las consolas cerradas. Sin embargo, el código analítico también introduce errores de programación y sesgos cognitivos. El peligro más grave en ciencia de datos de seguridad es el error silencioso: un inner join que descarta entidades desconocidas (que son precisamente las que utiliza el adversario), o una normalización temporal errónea que desplaza eventos nocturnos a horas laborables. Todo cuaderno de caza debe ser reproducible, documentado y auditado por pares antes de fundamentar decisiones críticas.