Indicios de un intruso real: parar y escalar

Durante una prueba autorizada se pueden ver rastros de alguien que entró antes sin permiso: una cuenta de administración que nadie pidió, sesiones a horas sin sentido desde un equipo desconocido, archivos grandes preparados en carpetas temporales. Que algo sea raro no lo convierte en intruso; lo convierte en una pregunta. La primera respuesta se busca en dos sitios: el registro del propio evaluador y el registro de cambios del cliente.

Si ninguno lo explica, cambia el trabajo. El evaluador no está autorizado a hacer respuesta a incidentes: si sigue mirando, borra o «limpia», puede destruir la evidencia que el cliente necesita, alertar al intruso o dejar sus propias huellas mezcladas con las de él. Lo que toca es parar sobre ese equipo, dejarlo como está, anotar lo visto y avisar por el camino pactado.

Por eso la carta trae este procedimiento escrito de antemano: en el momento, con el pulso acelerado, nadie inventa bien un protocolo.

El listado de cuentas trae una columna con la solicitud de cambio que justificó cada alta. Una cuenta de administración sin ninguna solicitud, creada de madrugada pocos días antes de que empezara el encargo, es el primer indicio serio.

Abre el laboratorio y revisa el listado de cuentas del servidor.

Para el aviso hace falta un dato que el equipo del cliente pueda buscar en su red: el origen de las sesiones de esa cuenta. Si coincide con algo que ya se vio antes en el encargo, el aviso lo dice, porque une dos piezas que el cliente tenía sueltas.

Entre las observaciones hay una tarea programada con un nombre que nadie del equipo evaluador reconoce. Antes de meterla en el aviso como indicio, se busca en el registro de cambios: un aviso que mezcla lo legítimo con lo sospechoso hace perder horas al cliente persiguiendo lo que él mismo instaló.

Ya se sabe qué tiene explicación y qué no: una cuenta de administración sin solicitud, con sesiones de madrugada desde un equipo ajeno al encargo, y un archivo comprimido de nómina en una carpeta temporal. El procedimiento de la carta está en el laboratorio.