La notificación del proveedor

Una notificación externa casi nunca llega con el caso resuelto: llega con sospechas. Un origen nuevo no prueba un incidente, y una explicación a mano no lo descarta a la ligera. Lo que se hace es contrastar cada alerta con lo que la empresa sabe de sí misma y quedarse con lo que ese conocimiento no explica.

Compara las dos alertas del proveedor con el registro de viajes autorizados, incluidos el origen y las fechas.

La política interna pone un reloj corto a quien recibe una notificación de un proveedor: declarar el incidente. El reloj arranca en la hora de recepción, que el correo da en UTC, y la política pide el resultado en la hora de la empresa. Mezclar los dos husos es el error más común de este tipo de cuentas.

Busca la hora de recepción y el plazo de la política, y escribe la hora límite como la leería el equipo en Bogotá.

Hay tres maneras de equivocarse con un aviso del proveedor: tomarlo por prueba, tomarlo por ruido y tomarlo por una orden. La política interna dice qué es una notificación externa y qué se hace con ella antes de afirmar algo en cualquier dirección.

Lee la política de avisos y piensa en lo que el propio texto del proveedor dice que no sabe.

Los registros que explicarán el caso no viven para siempre, y no todos duran lo mismo. Si el primer evento del caso ocurrió el mismo día en todas las fuentes, la primera en perder esos eventos es la de menor retención. Esa es la que se copia antes, con su hash, a un lugar que el atacante no controle.

Lee el inventario de fuentes y compara cuánto conserva cada una, sin olvidar si ya existe copia de custodia.