Cuando ya pasó, los registros lo cuentan

El reconocimiento que hiciste en la mitad ofensiva no es invisible: deja huella. En el registro del servidor de Salitre, un escaneo se ve como muchísimas peticiones desde una misma dirección en pocos segundos, casi todas fallando. Es el mismo patrón que un barrido de puertos en la red: muchos intentos, casi todos rechazados, apretados en el tiempo. Reconocerlo en un registro es la primera señal de que alguien estuvo mirando dónde entrar.

La firma es la forma, no el contenido: concentración en el tiempo, muchos intentos, casi todos fallando. Un humano no navega así.

Entre cientos de intentos fallidos, lo que importa es el que funcionó. Igual que en el ataque el puerto que responde entre cien rechazos es el hallazgo, en la defensa la petición con respuesta correcta entre cientos de errores es por donde el atacante entró de verdad. En el registro de Salitre, después de la ráfaga de errores hay una petición al panel de administración que devolvió un acceso válido: ahí está la entrada. Seguir el hilo desde ese punto es reconstruir el incidente.

El fallo masivo es ruido; lo que se busca dentro de ese ruido es la señal que sí prosperó. Leer registros es separar una cosa de la otra.

Un incidente es una lista de eventos hasta que los ordenas por tiempo; entonces es una historia con principio. La regla que no falla: la reacción del defensor no puede ser el comienzo del incidente — el comienzo siempre es del lado del atacante. En Salitre, ordenando los registros por hora queda claro que el escaneo fue antes del acceso, el acceso antes de que el usuario de servicio tocara la base de datos, y la contención del equipo (al final) después de todo. Reconstruir ese orden es lo que convierte eventos sueltos en un relato que otro turno puede continuar.

Sin línea de tiempo, un incidente es un montón de alarmas. Con ella, es algo que se entiende, se explica y se entrega.

Cuando confirmas un incidente en curso, la primera hora decide mucho. Contener es cortar el avance del atacante —aislar el equipo comprometido, cerrar la credencial reutilizada— sin destruir las pruebas ni apagar la investigación. El error del principiante es apagarlo todo de golpe: para el atacante, pero también borra el rastro que necesitas para saber el alcance. En Salitre, contener es aislar el servidor web comprometido y rotar la credencial que se reutilizó en la base de datos, dejando los registros intactos.

Contener no es apagar la investigación: es cortar el canal mientras se estudia el alcance. Y todo lo que se hace se anota, porque otro turno tiene que poder seguir.

La entrada real no se deduce: se aísla ordenando el registro por hora. Abre el laboratorio, separa la ráfaga de errores del único acceso válido al panel de administración y mira desde dónde vino.