El otro lado — detectar y cortar

En la sala anterior miraste la clínica desde fuera. Escaneaste, encontraste una pantalla que nadie había enlazado y entraste sin que te pidieran nada. Terminaste con una frase: quien defiende sin entender cómo se ataca, defiende solo contra lo que imagina.

Ahora te toca comprobarla. Es la misma mañana y la misma clínica, pero estás dentro.

Quien defiende no busca la manera de entrar: busca la señal de que alguien lo está intentando. Y esa señal casi nunca es una alarma que dice «te están atacando». Es una cifra que no encaja con las de al lado: un origen que pide cuatro mil páginas cuando los demás piden cuarenta, un montón de errores donde normalmente no hay ninguno, una hora rara.

El oficio tiene tres tiempos, y van en este orden:

• Detectar. Ver que algo no se parece a lo normal. Para eso hay que saber qué es lo normal, que es la parte que nadie cuenta.
• Entender. Qué están intentando exactamente. No es lo mismo alguien probando contraseñas que alguien buscando páginas sin enlazar.
• Contener. Cortarlo mientras pasa. Arreglar por qué fue posible viene después: primero se cierra la puerta, luego se estudia por qué estaba abierta.

Hay una tentación fuerte al empezar, y conviene nombrarla: investigar a fondo antes de cortar. Se siente más profesional. Pero mientras investigas, quien está dentro sigue avanzando. Contener primero no es tener prisa, es no regalar tiempo.

Abre el panel de monitoreo con el botón de abajo. Es la pantalla que tiene delante quien cubre el turno en la clínica: un resumen de la última hora y el tráfico repartido por origen.

Mira primero el resumen. Hay una cifra que canta: los errores 404. Un 404 es el servidor diciendo «esa página no existe». Que haya unos pocos es normal —gente que teclea mal, enlaces viejos—. Que haya miles en una hora, no.

Ahora baja a la tabla de tráfico. No hace falta saber de redes para resolver esto. Cada fila es un origen distinto y las columnas dicen cuántas peticiones hizo, cuántas páginas distintas pidió y cuántas fallaron. Cuatro filas se parecen entre sí. Una no.

Eso es, literalmente, en qué consiste detectar: no reconocer al malo, sino ver quién no se parece a los demás.

Ya sabes quién. Ahora hace falta saber qué intenta, porque de eso depende lo grave que sea.

Baja a la lista de rutas que ese origen fue probando. Vas a reconocerla: son las direcciones que tú mismo probaste en la sala anterior. /wp-admin, /backup, nombres genéricos de pantallas internas, uno detrás de otro en cuestión de segundos.

Fíjate en la columna de respuesta. Casi todas dicen 404: no existen. Dos dicen 200: existen. Y una de esas dos es /agenda-interna, la pantalla con los pacientes del día.

Ahí está la diferencia entre un dato y un incidente. Miles de 404 son ruido molesto. Un 200 en medio de miles de 404 significa que encontraron algo, y lo que encontraron es exactamente lo que no debía salir de la clínica.

Mira la última ruta que llegó a probar. Es la que estaba intentando cuando alguien —tú— se dio cuenta.

Sabes quién y sabes qué. Toca cerrar la puerta.

En el bloque de Contención del panel hay dos cosas ya hechas: se avisó a coordinación y se limitó cuántas peticiones por minuto se aceptan. Falta la tercera, y es la tuya: bloquear el origen.

Escribe la dirección que encontraste, elige Bloquear y pulsa Aplicar. Cuando la regla entre, el panel te da un código de contención.

Vale la pena entender por qué esas tres medidas y no otras, porque cada una tapa una cosa distinta:

• Bloquear el origen corta a ese de golpe. Es lo más rápido y lo más limitado: quien vuelva desde otra conexión entra igual.
• Limitar las peticiones por minuto no distingue quién es nadie, pero hace que un escaneo de miles de rutas deje de ser posible. Protege también del siguiente, que aún no ha llegado.
• Revisar quién puede ver cada pantalla es el arreglo de verdad. Los dos anteriores dan tiempo; este quita el problema, porque /agenda-interna no debería abrirse para nadie que no se haya identificado.

Y aquí se cierra lo que empezó en la sala anterior. Aquello terminaba diciendo que esconder no es proteger. Esto lo enseña desde el otro lado: la clínica se enteró porque estaba mirando. Si nadie mira ese panel, el escaneo pasa, alguien se lleva la agenda del día y no se sabe hasta que aparece publicada.

Detectar no es una alarma que suena sola. Es alguien mirando, que sabe qué es lo normal.