El servidor de archivos y el reloj

Un servidor, un puesto y un proxy casi nunca comparten reloj ni huso. Antes de ordenar nada en una línea de tiempo se lleva cada fuente a un mismo marco: primero el huso, después el desvío medido del reloj. Un evento que parece anterior a otro puede ser posterior una vez corregido.

El patrón habitual de la cuenta dice qué es normal en ella. Lo que importa es el primer inicio de sesión de red que se sale de ese patrón.

El registro de acceso a archivos anota cada lectura, y una misma lectura puede repetirse: un programa que reintenta, una vista previa, una segunda pasada. Contar filas no es contar archivos. El alcance se mide en objetos distintos y solo en los que se leyeron con éxito, porque un intento denegado no entregó nada.

Revisa la columna de resultado y cuenta cada archivo una sola vez.

Los permisos de una cuenta limitan lo que hace quien la usa. Un acceso denegado no es una lectura confirmada, pero sí cuenta: dice qué buscaba. Lo que alguien intenta leer, aunque no lo consiga, orienta el siguiente paso de la investigación y de la protección.

Ordena los intentos por hora del servidor y fíjate en el primero que fue denegado.

El sistema de archivos guarda dos fechas de creación por archivo: una que se puede modificar con herramientas de usuario y otra que anota el propio sistema al crear o mover el nombre. Si la primera es muy anterior a la segunda, hay dos explicaciones: el archivo se movió desde otro sitio, o alguien cambió la fecha para que parezca antiguo.

Lo que decide cuál de las dos es lo que dicen las demás fuentes. Un movimiento que consta en un ticket no es una manipulación.

Un registro de proxy cuenta bytes y destinos, no contenido. Un volumen que coincide con el tamaño de un archivo es una coincidencia que merece investigarse, pero no una prueba del contenido: eso solo lo da el archivo, abierto con su custodia. Y que salga algo no dice a quién ni para qué.

Se afirma lo que se probó y se deja marcado lo que falta.