Qué inteligencia existía antes del aviso

Ante un compromiso que nadie conoce todavía, ninguna fuente externa tiene el indicador: no lo tiene el fabricante, que no sabe que su compilación fue alterada, ni la fuente comercial, que vive de lo que alguien ya descubrió. Lo único que existe antes del aviso es lo que hizo el actor en tu red, y eso solo queda en tu telemetría.

La revisión retrospectiva relee las alertas cerradas con lo que se sabe hoy. No es para señalar a quien las cerró: es para encontrar qué regla, qué costumbre o qué dato faltante permitió cerrarlas sin entenderlas.

Abre la consola y ejecuta SELECT * FROM contexto y SELECT * FROM alertas_2020. No todas las alertas sobre el servidor son señales del actor: algunas describen cambios aprobados que, vistos con los datos de entonces, eran exactamente lo esperado. La primera señal es lo primero que nadie podía explicar con un cambio registrado.

Cerrar una alerta remitiendo a otra parece eficiente, pero arrastra el error de la primera: si aquella se cerró con una suposición, todas las que la citan heredan la suposición sin que nadie la vuelva a mirar. Mira la columna motivo_de_cierre.

Ejecuta SELECT * FROM dns_mac_orion_01. El dominio sin historia no apareció una vez: el servidor lo consultó durante meses y ningún otro equipo de la empresa lo usaba. Esa cifra de tiempo es la que el informe retrospectivo pone delante del comité, porque mide cuánto estuvo la señal a la vista.

Ejecuta SELECT * FROM fuentes_previas. Ninguna fuente externa tenía nada; la telemetría propia sí, y se cerró con una frase que nadie comprobó. La lección no es comprar más fuentes, sino cambiar cómo se cierra lo que ya se ve.