Registro y lectura de alertas de las listas

Una coincidencia con una lista dice que un equipo intentó llegar a una entrada de esa lista, o que algo con ese dato pasó por el control. No dice por qué. Puede ser un programa espía que llama a su servidor, una persona que pulsó un enlace o un servicio legítimo que cayó en una lista por error. La alerta es el principio de una pregunta, no una conclusión.

En los registros, «registrado» significa que el control dejó pasar y anotó; «bloqueado», que cortó y anotó. Consulta SELECT * FROM alertas.

Una coincidencia aislada pesa poco. Dos coincidencias del mismo equipo, en dos controles distintos y con indicadores de la misma campaña, pesan mucho más: el nombre de mando en el resolvedor y, segundos después, la dirección de mando en el cortafuegos es el rastro de algo que pregunta y luego intenta conectarse. Ese equipo pasa al primer lugar de la cola. Por la misma razón, cuando llega un lote nuevo, los indicadores que ya tienen coincidencias en los registros propios van antes que los demás.

Consulta SELECT * FROM entradas para saber a qué campaña pertenece cada entrada.

Un programa que llama a su servidor de mando suele hacerlo con una cadencia regular, aunque nadie use el equipo. Una persona no navega a la misma hora exacta cada hora de la madrugada. El intervalo entre repeticiones es un dato que se anota en el caso: ayuda a reconocer el mismo programa en otros equipos.

Cuando muchos equipos coinciden con la misma entrada a la vez, a la misma hora todos los días, lo probable no es una campaña: es un servicio legítimo que hace lo mismo en todos ellos, como una comprobación de actualizaciones. Si esa entrada está en modo bloqueo, además de ruido hay daño. La nota de la fuente y la del equipo propio lo dicen.

A las 9:12 entró un correo de facturas falsas al buzón de cartera, porque la lista de remitentes estaba en modo registro. A las 9:41 el proxy cortó la descarga del instalador desde un equipo de cartera. El bloqueo funcionó, pero el caso no termina ahí: el correo sigue en el buzón, pudo llegar a otras personas, y quien pulsó el enlace puede intentarlo por otro camino.