Lunes · la hipótesis y el mapa de la telemetría

La jefa del SOC te deja tres maneras de plantear la semana. Una caza solo arranca bien si el planteamiento nombra una conducta, el dato que la confirma o la descarta, y el periodo en que se mira. Léelas contra la tabla hipotesis y contra los datos que existen.

Una hipótesis solo se comprueba si existe el dato que la prueba. Una fuente apagada devuelve el mismo vacío que una intrusión que no ocurrió, y por eso el primer trabajo del lunes es mirar qué llega de verdad al SIEM.

Los puestos son donde empiezan los saltos, y solo los que entregan Sysmon dejan el detalle de lo que ejecutaron. Mide cuánto del parque queda dentro de la caza antes de prometer ninguna conclusión sobre los puestos.

La hipótesis habla de una tarea programada, y esa huella la deja la auditoría de tareas de cada servidor. Cruza el estado de la fuente con la tabla de lo que entrega cada servidor del alcance.

Llegará un momento de la semana en que tendrás que decir qué pasó en ese servidor. La respuesta honesta depende de si miraste y no estaba, o de si no pudiste mirar.