Línea de tiempo pública

En un compromiso de la cadena de suministro corren tres relojes que casi nunca coinciden: cuándo empezó el actor, cuándo alguien lo descubrió y cuándo salió el primer aviso público. El equipo de inteligencia se entera por el tercero, pero lo que pasó en su red depende del primero.

Por eso la primera tarea de un caso así es fijar la ventana de búsqueda. Si la campaña llevaba meses activa cuando llegó el aviso, buscar solo desde la fecha del aviso es mirar el final de la película. Y si los registros no llegan tan atrás, eso también es un hallazgo: se anota como límite de lo que se puede afirmar.

El primer aviso de un caso grande suele cubrir de más: cuando todavía no se sabe qué versiones están alteradas, la autoridad prefiere un rango amplio. Con el paso de los días el fabricante y los investigadores comparan versiones, y una guía posterior acota la lista. Quien solo leyó el primer documento sigue actuando sobre un alcance que ya cambió.

Abre la consola y ejecuta SELECT * FROM documentos. Lee cada fila buscando qué cambió respecto a la anterior, no solo qué dice.

Saber quién está detrás llegó mucho después que las órdenes de contención. Es lo normal: atribuir con confianza exige tiempo y fuentes que el defensor no tiene. Lo que importa para tu programa es que la contención no esperó a la atribución, ni debía hacerlo.

Cuenta los días entre la directiva de emergencia y el documento que nombra al actor, con las fechas de la tabla.

La primera orden pedía desconectar un rango de versiones, no una lista. Un rango se lee por sus dos extremos, y el extremo superior es justo el que más dudas genera en un inventario: ¿la versión que tengo está dentro o fuera?

Cuatro días después de la directiva, otra publicación de la misma autoridad cambió el problema: el producto alterado no era la única puerta. Para el analista, eso convierte un incidente de «un producto» en una investigación sobre todo el acceso del actor.