El rociado lento que ninguna regla vio

Un rociado de contraseñas prueba una contraseña común contra muchas cuentas, en vez de muchas contraseñas contra una. La versión lenta añade dos cuidados: deja pasar horas entre intentos y reparte las pruebas entre varios orígenes. El efecto es que cada cuenta recibe un fallo al día, cada origen aparece pocos minutos, y las reglas que cuentan «muchos fallos en poco tiempo» no ven nada.

Ejecuta reglas_activas y disparos_regla. Una regla mide fallos por cuenta en diez minutos y la otra fallos por origen en diez minutos. La caza cambia la unidad de medida: en vez de una cuenta o un origen, el bloque de red entero, y en vez de diez minutos, el mes.

Ordenar los orígenes por intentos pone arriba al ruidoso: la sede de la empresa, con cientos de fallos de personas que se equivocan al teclear. El rociado se delata por otra magnitud, las cuentas distintas tocadas con muy pocos intentos cada una. Una persona que se equivoca insiste en su cuenta; un rociado recorre la lista de cuentas y no vuelve.

Ejecuta fallos_por_origen y después fallos_por_bloque. Compara las columnas de cuentas distintas y de máximo de intentos por cuenta y día. Mira también qué pasa con los intentos de cada bloque.

Los fallos humanos siguen la jornada: se concentran cuando la gente llega y teclea con prisa. Un rociado automatizado no tiene jornada, y si quiere pasar desapercibido elige las horas en que nadie está mirando la cola. La hora no prueba nada por sí sola, pero compara dos formas de actividad y deja ver cuál tiene dueño humano.

Ejecuta fallos_por_hora | where bloque == "198.51.100.x" para ver el bloque sospechoso y fallos_por_hora para compararlo con el otro.

Una caza de rociado no termina al ver la huella: termina al saber si alguna cuenta cedió. Entre los inicios de sesión con acierto hay muchos legítimos, y la tabla ya trae lo que los distingue: una persona que se equivoca con su clave acierta después de uno, dos o tres intentos y en su jornada. Una contraseña adivinada acierta al primer intento y no precedida de ningún fallo.

Ejecuta exitos_tras_intento y cruza el origen con lo que ya sabes de los bloques, la hora con la franja de las otras filas y los intentos previos con lo que hace alguien que se equivoca.

La caza confirmó la hipótesis: un bloque que rocía, de madrugada, una contraseña por cuenta, y una cuenta que cedió. El entregable no es «hay un atacante». Es una lista corta de acciones que el equipo puede ejecutar y una regla nueva para que el SOC lo vea sin cazar.

La cuenta comprometida se trata como tal: se restablece su credencial y se revisa lo que hizo desde ese inicio de sesión. La regla describe la conducta y no el caso concreto, para que sirva con otros orígenes y otras cuentas, y se prueba contra la sede antes de activarla.