Búsqueda retrospectiva en tus registros

Una búsqueda retrospectiva toma los indicadores de un informe y los busca en los registros que ya tienes, hacia atrás. Su límite es la retención: lo que cada fuente conserva. Una búsqueda que no encuentra nada antes de la fecha en que empieza la retención no dice que no pasara nada; dice que no queda registro.

Abre la consola y ejecuta SELECT * FROM retencion y SELECT * FROM proxy_resumen. Mira cuándo empieza a conservar el proxy y cuándo aparece la primera conexión del servidor de planos.

Ejecuta SELECT * FROM indicadores_inf_a. Cada indicador vale dentro de su ventana: antes o después, ese valor fue o es de otra persona. Para saber si una búsqueda tiene sentido, hay que comprobar que alguna fuente que registra ese tipo de dato conserve al menos parte de la ventana. Si ninguna la cubre, el indicador no se busca: se declara en el informe como un límite.

Recuerda qué registra cada fuente: un dominio de mando se ve en el proxy o en el DNS, no en la VPN.

Ejecuta SELECT * FROM vpn_inicios. La VPN de Sotará conserva más de dos años y registra la dirección de origen de cada inicio, así que las direcciones del anexo sí se pueden buscar. Una coincidencia vale si la fecha cae dentro de la ventana del indicador.

La misma dirección aparece también fuera de su ventana. La nota del anexo explica qué era esa dirección después: un servicio que comparten muchas personas. Contar esa fila como compromiso manda a investigar a alguien inocente; ignorar la ventana es el error más común de una búsqueda retrospectiva.

Ejecuta SELECT * FROM correo_entrada WHERE remitente LIKE '%congreso-presas.example'. El correo de entrada conserva un año y la ventana del remitente cae entera dentro de ese año, así que aquí la búsqueda es completa. Las invitaciones que llegaron dentro de la ventana dicen a quién apuntó el actor; un correo del mismo dominio fuera de la ventana se anota aparte.