Dónde se pudo detectar

Cuando una señal no llegó a nadie hay tres explicaciones posibles, y cada una pide un arreglo diferente.

Un hueco de visibilidad: el dato no se guardaba, y por tanto nada podía vigilarlo. Un hueco de detección: el dato estaba en un registro, pero ninguna regla lo miraba. Un hueco de proceso: la regla existía y generó una alerta, pero la alerta no se leyó, se cerró sin investigar o se envió a un buzón sin dueño.

Confundirlos lleva a comprar la herramienta equivocada: contratar más sensores no arregla una alerta que nadie lee.

Un caso frecuente de hueco de proceso es el falso positivo que no lo era. Una alerta de un antivirus sobre una herramienta de administración remota puede ser legítima o ser el primer rastro de quien entra; solo investigarla lo dice.

En la tabla de señales previas, la columna de estado cuenta qué pasó con cada una. Se busca la señal de la alcaldía que se cerró como falso positivo sin investigar.

Una alerta temprana no vale por existir, vale por el margen que da: los días entre que se genera y que ocurre el daño. Si el margen es de días y la alerta se lee, hay tiempo de cortar el acceso antes del cifrado.

El margen se calcula en días de calendario, restando la fecha de la alerta a la del inicio del cifrado. Las dos están en la misma tabla, en las filas del caso.

El otro modo de leer un informe es por los controles que declara tener o no. La tabla de controles dice, para cada caso, si el control estaba en el momento del incidente. «Existía» no garantiza que funcionara, pero «no existía» sí dice que no había nada.

La entrada de un atacante en Vistalegre fue por el acceso remoto de un proveedor, con la cuenta de ese proveedor.

Para decir dónde se pudo detectar, se busca la primera señal fechada que ya estaba en un registro y que alguien habría entendido. No sirve la última oportunidad: el cifrado es la señal más tardía de todas.

El análisis honesto se limita a lo que el informe fecha. Si el primer acceso no dejó ninguna señal en la tabla, no se inventa una.