Cada acción y su huella en los registros

Una acción no deja «un rastro» en abstracto: deja un evento concreto en una fuente concreta. El barrido de puertos aparece como conexiones rechazadas en el cortafuegos; probar una contraseña contra muchas cuentas aparece como fallos de autenticación en el controlador de dominio; navegar por un portal aparece en el servidor intermedio de salida a internet. Para el evaluador esto tiene un uso inmediato: antes de preguntarle al cliente qué vio, se sabe qué debería haber visto y dónde.

Hay un segundo dato que casi nunca se mira y decide tanto como el primero: cuántos días conserva el cliente cada fuente. Una huella que existió el martes y se borró el jueves no sirve para la revisión conjunta de la semana siguiente.

Abre el laboratorio y lee la tabla fuentes.

Las dos columnas que confunde casi todo el mundo son distintas. Que un sistema registre un evento significa que lo escribe en su propio equipo. Que el cliente lo recolecte significa que ese evento viaja a un sitio central donde hay reglas que lo miran y gente que lo consulta. Un evento registrado y no recolectado existe en el equipo hasta que el espacio se acaba, y nadie se entera de nada.

Esto cambia la recomendación que escribe el evaluador. Si el evento no se registra, hay que encenderlo en los equipos. Si se registra y no llega al centro, el trabajo es de la gente que mantiene la plataforma. Y si llega y nadie lo mira, el trabajo es escribir una detección.

Hay un tercer caso, y es el más incómodo de explicar al cliente: la señal existió, la fuente sí se recolecta y aun así nadie puede comprobarlo, porque cuando se fue a buscar ya se había borrado. Pasa siempre que la revisión conjunta se hace semanas después de la prueba y alguna fuente guarda pocos días.

Cruza la tabla acciones con cobertura y con la retención de cada fuente.

El número que abre el anexo de detección no es cuántas alertas hubo: es de cuántas acciones el cliente no tiene forma de demostrar nada, ni a favor ni en contra, al terminar el encargo. Ese número le dice a la dirección cuánta de su propia actividad es invisible para ella, con prueba autorizada o sin ella.