Escenario, Hilos del Pedregal

Antes de mirar los hallazgos hay que saber hasta dónde llega la caza. El informe no puede decir «la flota está limpia» si una parte de la flota no respondió.

De las diecisiete filas devueltas, un equipo reúne a la vez cuatro rasgos: su ejecutable no tiene firma, corre con la cuenta del sistema, no hay otra copia en la flota y se creó dentro de la ventana del incidente sin que exista un cambio aprobado que lo explique.

Un segundo equipo tiene una firma válida, pero el firmante no aparece entre los que la organización aprobó. El ejecutable corre con la cuenta del sistema, es único en la flota y se creó dentro de la ventana del incidente. Una firma que existe no demuestra que el software sea de confianza para esta organización.

El tercero no está entre las filas devueltas: está entre los equipos que no entregaron resultado. Entre ellos hay equipos de vacaciones, apagados por la noche y con errores de la propia caza. Uno solo se desconectó del servidor dentro de la ventana del incidente, y el silencio de un equipo justo cuando ocurría el incidente no se puede dar por limpio.

El informe de la caza tiene que decir lo que la caza permite afirmar y lo que no. Las diecisiete filas y los quince equipos sin resultado forman una sola imagen: ninguna de las dos mitades se entiende sin la otra.