Inicios de sesión fuera de patrón

Cada cuenta tiene su propio perfil: la franja horaria en que trabaja, los países desde los que entra, las aplicaciones que usa y los dispositivos con los que lo hace. Comparar contra el perfil de esa cuenta, y no contra un promedio de la empresa, es lo que permite ver que alguien que siempre entra de 8 a 5 entró a las 3 de la mañana.

Pero cada dimensión por separado se desvía a menudo y por motivos corrientes: una aplicación nueva, un portátil de reemplazo, un turno extra. Lo raro es la coincidencia: la misma cuenta, el mismo día, saliéndose en dos o más dimensiones. Ejecuta perfil_cuenta y desviaciones.

La tabla desviaciones cuenta, para cada cuenta, en cuántas de las cuatro dimensiones se salió de su perfil. Las que se desviaron en una sola son el ruido de una empresa viva: no se persiguen, se dejan anotadas con su dimensión y se vuelven a mirar si la misma cuenta aparece de nuevo. Medir cuánto ruido hay dice cuánto filtra el criterio de varias dimensiones.

Ejecuta desviaciones y cuenta las filas cuya columna dimensiones vale 1.

Quedan las cuentas con dos o más dimensiones. Ejecuta desviaciones | where dimensiones >= 2 y después viajes_registrados y calendario. Una desviación tiene explicación cuando un dato del negocio la cubre dimensión por dimensión: un viaje avisado explica el país nuevo y las horas distintas, y una aplicación publicada junto con un turno extendido en un cierre explican la aplicación nueva y la hora tardía.

Se explica entera o no se explica. Si el viaje cubre el país pero la cuenta también se desvió en el dispositivo y en la aplicación, la explicación se queda corta y la cuenta sigue en la lista.

La tabla de desviaciones resume; el detalle está en el inicio de sesión que la produjo. Para la cuenta que quedó sin explicación, el cruce es con el inicio concreto: de qué país, desde qué origen, con qué aplicación y desde qué dispositivo. Ese detalle es lo que se entrega al equipo que hace la respuesta.

Ejecuta inicios_candidatos. Los tres inicios de las cuentas con dos o más dimensiones están ahí, y solo uno trae un país que no figura en el perfil de su cuenta ni en ningún viaje avisado.

Los datos de esta caza son los de los inicios interactivos de cada cuenta. Una dimensión que la caza de Fibras no tiene es el resultado del segundo factor: esa fuente no llega al SIEM, como viste en la primera sala. Por tanto la caza puede decir que el inicio de sesión de la cuenta fue raro en cuatro dimensiones, pero no si ese inicio pasó o no por la verificación del segundo factor.

El cierre honesto entrega la pista fuerte y su límite a la vez. Quien responde sabrá qué mirar primero y, sobre todo, qué dato todavía no tiene.