Cambios no autorizados en la aplicación

Para decir que un archivo cambió hay que tener con qué compararlo: el release que se desplegó, con una huella (un resumen calculado con una función hash) de cada archivo. Si la huella actual no coincide con la del release, el contenido cambió; si el archivo no está en el release, sobra.

Mirar solo las fechas de modificación engaña en las dos direcciones: un archivo tocado ayer puede ser idéntico al original, y un cambio hecho con cuidado puede ocultar su fecha. La huella no tiene ese problema.

En una carpeta donde la aplicación guarda cargas de los usuarios se espera encontrar imágenes y documentos, no archivos de código del lenguaje del servidor. Un archivo de código ahí, que además no figura en el release, es un hallazgo en sí mismo aunque nadie lo haya abierto todavía: el análisis de su contenido es trabajo del equipo forense con el archivo ya preservado, no de esta sala.

Aquí solo se lee el inventario.

Los usuarios con permisos de administración se crean casi siempre dentro de un cambio con su identificador: un despliegue, una solicitud. Uno creado a una hora en la que no hubo despliegue, por el propio proceso de la aplicación y sin cambio asociado, no tiene explicación en el proceso normal. La tabla de usuarios administradores trae la columna del despliegue asociado justamente para esta comparación.

El inventario también trae archivos del propio programa. De ellos, los que importan son los que tienen una huella actual distinta de la del release: ahí el contenido cambió. Hay archivos con fecha de modificación reciente y la misma huella: alguien los tocó o la aplicación los reescribió, pero su contenido es el original, y no se cuentan.

Los archivos que no existen en el release no se cuentan aquí: son los que sobran, y ya los resolviste.

Restaurar desde el release es la forma de volver a un estado conocido, pero destruye la evidencia si se hace primero. Antes de tocar nada se preserva una copia de los archivos alterados y de los que sobran con sus fechas, propietarios y huellas, y las líneas del registro de acceso que los rodean. Después se restaura el código y se retira el usuario creado, y se anota cada paso con su hora.

La copia no se abre ni se ejecuta en el servidor: se entrega al equipo que la va a analizar.