Lo que la búsqueda no puede ver

Cuando una consulta devuelve cero filas, caben tres explicaciones muy distintas. La primera, que no está: el equipo fue consultado, tiene cobertura y no hay rastro. La segunda, que no se pudo mirar: el equipo no tiene agente, o lo tiene pero lleva días sin reportar, y nunca contestó. La tercera, que ya no se puede ver: la fuente solo guarda un número de días y lo que ocurrió antes se borró.

Solo la primera permite decir que el equipo está limpio. Las otras dos son ausencia de evidencia, y en un informe no equivalen a evidencia de ausencia. Una búsqueda sin cobertura es una pregunta que nadie respondió, no una respuesta negativa.

La primera pieza de la cobertura es el agente. La tabla agentes_edr dice, para cada equipo del inventario, si el agente está activo, si el equipo no tiene agente o si lo tiene pero no reporta. Los dos últimos casos no contestan una búsqueda por el EDR, y no son lo mismo: un equipo sin agente nunca se pudo mirar; uno que lleva días sin reportar quizá sí tuvo el rastro y no lo enseñó.

agentes_edr
| where estado != "activo"

Cruza la última telemetría de cada uno con el día en que empezó el incidente, el 09-19. Uno de ellos dejó de reportar antes de esa fecha: todo lo que pasó desde entonces es invisible para el EDR.

Cada fuente conserva un número de días. Más atrás de ese límite la búsqueda no devuelve nada aunque el rastro exista. La tabla fuentes dice cuántos días guarda cada una y desde qué día hay datos. Esto importa al comparar con el inicio del incidente: si el rastro más antiguo conocido es del 09-19 y una fuente solo conserva los últimos diez días y arranca días después, esa fuente no puede confirmar ni descartar nada de esos primeros seis días.

fuentes
| where fuente == "dns_proxy"

La consulta que se lanza hoy al DNS responde por los últimos días, no por todo el incidente, y el informe tiene que decirlo.

Tres equipos no contestan y una fuente solo llega a medio incidente. La decisión que sigue no es técnica sino de redacción: cómo se escribe eso en el alcance. Declararlos limpios porque «no devolvieron nada» es una afirmación sin evidencia, y es la que reabre el incidente cuando alguien los revisa por otro camino. Ignorarlos es peor. Lo correcto es listarlos como no verificados, con su motivo, y planear cómo se comprueban por otro medio: una revisión directa del equipo, una adquisición manual, o la lectura de otra fuente que sí los vea.

Un alcance honesto tiene tres columnas: confirmados, descartados con evidencia, y lo que no se pudo comprobar con su plan.