Consultas inusuales leídas

Una línea base es el uso documentado de cada cuenta: qué consultas hace, en qué horario, desde qué origen y cuántas filas suele devolver. En una auditoría real hay miles de sentencias al día; mirar la más grande o la de aspecto más raro lleva a conclusiones equivocadas, porque una cuenta de aplicación mueve cientos de miles de filas y es normal. Se compara cada cuenta consigo misma.

Tres señales ayudan: un horario fuera del habitual, un origen que no es el de siempre y un cambio de forma, como pasar de agregar datos a recorrer una tabla entera.

La tabla linea_base dice qué hace cada cuenta; la tabla auditoria dice qué hizo. Se cruzan por cuenta. Una de las cuentas, en una madrugada, hace algo que su línea base no contempla y sobre una tabla que su informe nunca toca.

Un horario raro puede ser trabajo legítimo desde otra zona; un origen que no aparece en ninguna línea base es otro tipo de pista. Se toma la dirección de esas lecturas y se comprueba que no es la de ningún servidor conocido de la tabla linea_base.

Cuando alguien lee una tabla grande, rara vez lo hace de una vez: la pide por tandas con LIMIT (cuántas filas) y OFFSET (desde cuál). Contar las tandas da una medida de cuánto se leyó y es el primer paso para estimar el volumen de la sala siguiente.

Se cuentan las sentencias con LIMIT de esa cuenta desde esa dirección, incluidas las que repiten un tramo ya pedido. No se cuentan las de agregado ni la que solo cuenta filas.

El desplazamiento de las tandas avanza siempre de la misma cantidad y las filas se piden ordenadas por id. Eso es un recorrido sistemático de la tabla. Es una pista fuerte sobre cómo se leyó; no dice quién estaba detrás de la cuenta ni con qué intención, y tampoco prueba por sí solo a dónde fueron los datos.

Lo prudente es describir el patrón con las palabras de la evidencia y dejar la atribución para cuando haya más fuentes.