El caso y el informe

Llegas a Puerto Fresco. El servidor de pedidos pf-srv-erp01 está encendido, con un proceso sospechoso corriendo y una conexión abierta hacia una dirección externa. La dirección pide que "reinicien ya y sigan facturando". Tienes que decidir el arranque del caso tú solo, aplicando lo aprendido: qué se hace con la máquina en este estado y en qué orden, sabiendo que cada opción cierra o abre puertas para todo lo que venga después.

Nadie te va a recordar el orden de volatilidad ni la regla de contención. La decisión de esta tarea condiciona si el resto del caso tendrá evidencia con la que trabajar.

Con las imágenes adquiridas, montas la línea de tiempo de Puerto Fresco. Aparecen, dispersos entre disco, memoria y registros de red: una sesión remota entrante desde una dirección externa a un servicio de acceso remoto expuesto, el nacimiento de un proceso que no corresponde a la operación del ERP, el registro de un servicio nuevo con binario en ruta temporal, y una transferencia grande de datos saliente. Tu tarea es leer la secuencia y decir cuál fue el punto de entrada, sin dejar que el hallazgo llamativo —la transferencia— te haga confundir el efecto con la causa.

El método es el de la sala de línea de tiempo: normalizar las horas, ordenar, y dejar que la secuencia diga qué desencadenó qué. El punto de entrada está al inicio de la cadena, no donde más ruido hay.

Antes de declarar nada, mides el alcance. Extraes el indicador del servidor —el servicio con su binario en ruta temporal, la dirección externa— y lanzas una caza remota por toda la flota de Puerto Fresco. La consulta devuelve que el indicador aparece también en pf-db01, el servidor de base de datos, que no había dado ninguna alerta. El alcance no es una máquina: son dos, y la segunda es justamente donde viven los datos. Toca analizarla con el mismo método e incluirla en la erradicación.

La tentación de cerrar con "fue el servidor de pedidos y ya" es la que reabre el incidente. La caza existe para encontrar la máquina callada, y aquí la encontró.

La dirección pregunta lo que siempre preguntan: ¿qué se robaron? La respuesta se sostiene con evidencia, no con una estimación tranquilizadora. En pf-db01 los artefactos muestran una consulta que volcó la tabla de clientes y pedidos a un fichero, y la línea de tiempo cruza ese volcado con la transferencia saliente del servidor de pedidos a la misma hora y hacia la misma dirección externa. Esa correlación —volcado en la base de datos, salida de datos por la red, misma ventana— es lo que permite afirmar qué se llevaron: la base de clientes y pedidos, no "posiblemente algo".

Decir "no sabemos" cuando la evidencia lo dice es tan malo como inventar un alcance. El informe afirma lo que las fuentes sostienen y marca como incierto lo que no.

Cierras con el informe. Lleva un resumen ejecutivo (qué pasó, qué gravedad, qué se recomienda ya), los hallazgos técnicos con la línea de tiempo, los indicadores listos para bloquear, el alcance con su evidencia, y una recomendación concreta. Pero lo que evita que Puerto Fresco lo repita es la última parte: la causa raíz —un servicio de acceso remoto expuesto a internet sin segundo factor— y la regla nueva que sale de ella —detectar y alertar sesiones remotas entrantes desde direcciones externas a ese servicio, y cerrarlo a internet—. Un informe que describe el incidente pero no deja una regla que lo frene apaga este fuego y espera el siguiente.

Si llegaste hasta aquí adquiriendo en orden, reconstruyendo la secuencia, midiendo el alcance con la caza y sosteniendo cada afirmación con evidencia —sin que nadie te dijera la secuencia— el método de la ruta ya es tuyo.

Cerraste Puerto Fresco sin que nadie te dijera la secuencia. Abre el laboratorio del caso: en la carpeta del informe hay dos hojas de correlación, un borrador descartado y una validada. La validada es la que pone el punto de entrada donde de verdad empieza la cadena, declara el alcance real y sostiene con evidencia qué se llevaron. Esa hoja —la que cierra la ruta— lleva el código del caso.