Leer un paquete de triaje

La tabla de procesos dice qué corre, desde qué carpeta y quién lo lanzó. En un servidor, los programas propios del sistema viven en carpetas del sistema y las aplicaciones de la empresa, en carpetas de instalación conocidas. Un ejecutable que corre desde una carpeta de datos de programa y lo lanzó una cuenta de servicio es un hilo que se tira.

Abre procesos.csv y busca el que no encaja con los demás.

Un proceso sospechoso se contrasta con su actividad de red. Lee conexiones.csv y ubica la fila de ese ejecutable por su pid. El destino dice a dónde enviaba datos en el momento de la recolección, y la columna de bytes enviados dice cuánto.

La cuenta que lanza un proceso es una pista, no una conclusión: puede ser una cuenta de servicio legítima mal usada, o una cuenta tomada. Lee eventos-seguridad.csv y sesiones-smb.csv para ver qué hizo esa cuenta esa noche, y cuántos archivos tenía abiertos.

El volumen enviado importa para medir el posible impacto. La columna de bytes enviados está en megabytes. Para hablar con quien decide, se expresa en gigabytes, con la equivalencia de 1024 megabytes por gigabyte, redondeada al entero más cercano.

Cuatro piezas que apuntan al mismo ejecutable y a la misma cuenta son un buen indicio. Aun así, un paquete de triaje contiene tablas, no el contenido de lo enviado: dice que salió un volumen, no qué archivos eran. La conclusión se redacta hasta donde llega la evidencia.