La gota que no supera el umbral

La regla del SOC dice: «subida diaria por equipo mayor que 100 MB». Abre SELECT * FROM umbral_diario y SELECT * FROM subida_diaria: ningún día de los catorce pasó de 100 MB, y la regla no disparó una sola vez. Cada día, mirado solo, es un día normal.

La medida que falta es el acumulado por par (equipo y destino) en una ventana larga: suma de lo subido por ese par durante semanas, no por día. Cualquier comportamiento que reparta el volumen para quedar bajo un umbral diario solo se ve cuando se junta.

Suma la columna subida_mb de SELECT * FROM subida_diaria: los catorce días, del 25 de enero al 7 de febrero, hacia un único destino. Ese total es el dato que se lleva al ticket: no «un día de 45 MB», sino lo que salió en total y desde cuándo.

Compara después ese total con lo que el mismo puesto subía antes de que empezara: la diferencia es lo que cambió.

SELECT * FROM bases trae dos líneas de base del mismo puesto. Una mira los 28 días previos a que empezara la tanda; la otra es la base móvil de los últimos 7 días. Con la móvil, la subida de hoy está a pocas desviaciones de «lo normal»: la gota ya forma parte del normal. Con la previa, no.

Es el defecto de las bases que se recalculan sin parar: aprenden lo malo si dura lo suficiente. La contramedida es fijar una base de referencia anterior al periodo sospechoso y compararla siempre contra ella, además de la móvil.

Una copia de seguridad nocturna también sube cada madrugada, a la misma hora y casi con el mismo volumen. Lo que la hace legítima no es el ritmo, que comparte con la gota. Es todo lo demás: su destino lleva años en la red, está aprobado con un ticket, lo usa el servidor de copias y el responsable lo conoce.

Abre SELECT * FROM destino y SELECT * FROM subida_diaria y compara con lo que habría en una copia: la hora casi fija es la misma, y también las decenas de MB cada día.

Con el acumulado, la base previa y el destino sin clasificar, falta el dueño. Un hallazgo de exfiltración lenta se entrega con el equipo, el área y la persona que puede decir qué se instaló o qué hizo el puesto por la madrugada, y todo eso está en el inventario.

La pregunta que se le hace a esa persona es de contexto —qué hay instalado, qué se le pidió al puesto—, no una acusación.