La alerta y la primera huella

Un registro de auditoría de nube dice quién hizo qué, con qué clave, desde qué dirección y con qué programa. La clave por sí sola no separa lo normal de lo ajeno: la usa el trabajo diario y la puede usar quien se la llevó. Lo que sí separa es el origen. Se parte de la lista de orígenes desde los que la empresa trabaja de verdad y se busca el primer evento que viene de otro lado.

Cuidado con lo que parece raro y no lo es: una dirección que no es la de la oficina puede ser la VPN. Compara cada origen con la lista antes de sospechar.

El trail está en UTC y la empresa trabaja en hora de Bogotá. Quien lea el informe no vive en UTC, y una hora sin su huso es una hora que cada lector entiende a su manera. La conversión es una resta, pero hay que hacerla con el día incluido: restar horas puede cambiar la fecha.

Convierte el momento que acabas de encontrar a la hora en que lo vivió la gente de Santa Isabel. Lee en las reglas del caso qué huso usa la empresa.

Ya hay un hecho: alguien que no es la empresa usó la clave de la cuenta de servicio de reportes. Falta el cómo. Hay tres historias que suenan bien, y el informe tiene que decidir con cuál se queda hasta que haya evidencia. Mira lo que hay en el inventario de claves y en el extracto, y piensa qué prueba cada dato y qué solo sugiere.

Escribir una hipótesis como si fuera un hecho es el error que luego se corrige en público.

El tiempo de permanencia se mide desde el primer evento del atacante hasta el momento en que alguien lo detecta, no desde que llegó la alerta ni desde que se abrió el caso. Es el número que más cambia la gravedad de una brecha: cada hora son más lecturas, más cambios y más registros que revisar.

Aquí el aviso de detección es la alerta de facturación. Cuenta solo las horas completas.