Martes · los datos de identidad

Raro no es lo mismo que malicioso, pero sin saber qué es lo normal no hay manera de decir qué es raro. Cada cuenta de la línea de base tiene un puesto, un horario y unos servidores a los que entra. Cruza esa tabla con los inicios de sesión.

No todas las sesiones remotas terminan en una puerta abierta. Un fallo dice que se intentó; un éxito dice que se entró. Cuenta lo segundo, en servidores distintos, para esa cuenta.

Otra cuenta, adminti-lcastro, también abre sesiones remotas de madrugada el 13 y el 15 de octubre. Ese patrón, visto sin su línea de base, se parece mucho al de la primera. La caza lo resuelve con el perfil y deja constancia del motivo.

Una cronología se ancla en su primer evento. Todo lo que venga después —en los equipos y en la red— se alinea contra la hora en que empezó a moverse.

Con estas dos tablas tienes un desajuste claro entre lo que la cuenta suele hacer y lo que hizo la madrugada del 14. Todavía no sabes qué hizo dentro de cada servidor.