Alcance y contención sin romper el respaldo

Una búsqueda por la flota devuelve coincidencias, y no todas son lo que parecen: un programa legítimo puede tener el mismo nombre que el indicador. Lo que separa un hallazgo real de un falso positivo es la ruta y la firma, no el nombre. Cada equipo se cuenta una sola vez.

Aplica la regla de coincidencia real que está escrita en las reglas y cuenta solo lo que la cumple.

Una búsqueda solo responde por los equipos que puede consultar. Un puesto sin agente no figura como limpio: figura como desconocido, y eso hay que escribirlo. Si además ese puesto habló con el servidor afectado durante la ventana del caso, el desconocido tiene un motivo más para revisarse.

Cruza los orígenes que hablaron con el servidor con la lista de equipos que la búsqueda consultó.

Contener bien es cortar sin llevarse por delante lo que probará el caso. Reinstalar un equipo borra su disco, y restablecer una clave sin copiar antes los registros puede dejar el rastro sin su fuente. La secuencia que protege la prueba guarda primero lo que se perdería, después corta el acceso y deja lo que destruye para el final.

Mira la lista de acciones propuestas y lo ya hecho antes de decidir el orden.

Contener tiene un costo, y una acción correcta puede romper algo de la empresa si se hace sin coordinar. Antes de ejecutar una acción sobre una cuenta o un servicio compartido se pregunta quién más depende de él, y se avisa y se ensaya el cambio de las dos partes a la vez.

Lee las dependencias de la cuenta y busca qué acción de la lista afecta a un equipo que no es el comprometido.

El servidor de archivos se contuvo más tarde que el puesto, y esa diferencia es un dato del informe. Se mide desde el primer inicio de sesión de red fuera de patrón, ya con la hora normalizada, hasta que el servidor quedó restringido. Cuenta solo los minutos completos.

La hora del primer inicio de sesión fuera de patrón ya viene corregida del reloj del servidor en el archivo de lo ya hecho.