Una cuenta, dos nubes

Una cuenta se compara consigo misma, no con una lista de países malos: lo que importa es qué origen no encaja con lo que esa persona hace. Un fallo desde un origen ajeno solo cuenta que alguien lo intentó; el momento que abre la cronología del acceso es el primer inicio que sí funcionó.

Los fallos previos a un acierto dicen cuántas contraseñas se probaron desde un mismo origen, no cómo se obtuvo la correcta. Un fallo que viene de otra dirección, aunque sea de la misma cuenta y de la misma noche, es otro hecho y no se suma al del origen que acabó entrando.

Para unir dos fuentes hace falta ponerlas en el mismo reloj. Cada proveedor escribe la hora a su manera, y la empresa a veces las exporta en una zona distinta de la que usa el proveedor; antes de comparar horas de dos tablas se mira en qué zona escribe cada una y se lleva todo a la misma.

Una llamada denegada quedó anotada igual: no prueba que algo cambiara, pero sí que alguien lo intentó y qué quería saber del entorno. Contarlas exige filtrar a la vez por origen y por resultado; las de la oficina, aunque falle alguna, son otra historia.

Una sesión de consola se acaba al cerrarla, pero una credencial nueva sigue valiendo después y se puede usar sin pasar otra vez por el inicio de sesión de la persona. Es lo primero que hay que encontrar y retirar, y se reconoce porque aparece como creada en una fila y como usada en otra.