Escenario — la actualización «de confianza» que llamaba a un dominio nuevo

La regla disparó con varios nombres vistos por primera vez en 90 días. No todos vienen del programa de planillas: un equipo de gerencia consulta un boletín de un gremio de la industria, que no tiene que ver. Cruza los nombres del resolvedor con lo que hace el programa en el proxy y quédate con el que pertenece a su comunicación.

El alcance es lo primero que quiere saber la dirección. Cuenta los equipos distintos que consultaron ese dominio en el resolvedor, y comprueba en el inventario qué tienen en común.

Un dominio con muchos años de uso por el proveedor es una cosa; uno registrado hace poco, con el registrante oculto y sin una relación confirmada con el proveedor, es otra. No es una prueba, pero es el dato que más pesa para decidir qué preguntar primero.

Tienes un patrón con fecha: cuatro equipos, todos con la misma versión nueva, un dominio joven y un envío periódico del mismo tamaño. Tienes también lo que ayuda a la prudencia: los procesos que lanza la aplicación no cambiaron respecto a su línea base. Y tienes lo que no hay: el contenido de lo enviado, que el proxy no abre, y cualquier confirmación del proveedor.

El director necesita una decisión que no dependa de saber la intención. Se puede acotar el riesgo sin afirmar una intrusión: pedir por escrito al proveedor que confirme el dominio y el contenido de lo que envía, conservar los registros, y decidir con el dueño del proceso si se limita el destino mientras llega la respuesta, sin retirar el programa de los demás equipos que no se actualizaron.