Rastros sueltos de una semana

Cada ticket se cerró por separado y cada cierre es defendible por separado: un acceso extraño, una tarea nueva, un dominio que nadie conocía. Lo que ninguna regla ve es lo que tienen en común. El primer movimiento de una caza con rastros débiles no es reabrir ticket por ticket, sino ponerlos todos en un mismo eje: por cuenta y por equipo, con la misma zona horaria, leyendo las fuentes juntas.

Los rastros débiles valen por la coincidencia, no por su gravedad. Una observación aislada tiene mil explicaciones posibles; cinco que apuntan a la misma cuenta en el mismo día tienen muchas menos.

Los tickets no hablan todos el mismo idioma: unos citan una cuenta, otros un equipo y otros solo una dirección IP. Para unirlos hay que traducir cada identificador a la persona o al sistema que hay detrás, con el inventario de asignaciones del mismo corte.

Las fuentes de una misma empresa rara vez usan la misma zona horaria. Unir rastros sin unificarla es la forma más rápida de poner un suceso antes de su causa. Antes de ordenar nada, se anota la zona de cada fuente y se convierte todo a una sola.

Un ticket cerrado con una explicación es una afirmación, y como toda afirmación se contrasta con registros de otra área. Si la explicación no coincide con la fecha, la persona o el equipo del registro, el cierre se reabre dentro del caso.

Unir no es meter todo. Dos de las siete observaciones se cerraron tras confirmar la explicación con la persona o con el proveedor. Mezclarlas con el resto inflaría el caso con ruido y le quitaría fuerza ante quien lo reciba.