Señales de acceso inicial

Hay dos formas de fallar muchas veces. Una persona que se equivoca de contraseña falla varias veces sobre su propia cuenta y luego entra con su segundo factor. Un rociado de contraseñas prueba pocas contraseñas sobre muchas cuentas distintas desde la misma dirección, espaciadas para no bloquear ninguna. Lo que distingue una de otra es cuántas cuentas distintas toca el origen, no cuántos fallos suma. La técnica de ATT&CK para el rociado es T1110.003 (Brute Force: Password Spraying).

Abre vpn_log y filtra los fallos de la dirección 198.51.100.61. Cuenta cuentas distintas, no filas: una cuenta con tres fallos sigue siendo una. El número dimensiona cuántas credenciales habría que revisar si alguna hubiera caído.

Después de los fallos hay un inicio correcto desde la misma dirección externa. Esa es la señal de que el patrón no fue ruido: alguien con acceso a una credencial válida entró. Búscalo en vpn_log por el origen y el resultado.

La columna segundo_factor del inicio correcto dice que el sistema no lo exigió. Una cuenta sin segundo factor se abre con solo la contraseña. En cuentas_vpn está por qué: una excepción registrada. Lo útil para ingeniería de detección es el identificador, que permite preguntar quién la aprobó y cuántas hay.

Una regla sobre rociado habría saltado antes del inicio correcto; una regla sobre inicios correctos con excepción de segundo factor y origen nuevo lo habría visto después. En un informe, la acción de respuesta sigue a la evidencia: qué hizo la cuenta tras entrar y qué se restablece. Un inicio de sesión correcto no se descarta por parecer una persona normal (T1078, Valid Accounts).