Por qué una intrusión dura meses

Una intrusión tiene dos problemas distintos para quien la lleva: entrar y no ser expulsado. Lo primero ocurre en un día; lo segundo es lo que decide si la intrusión dura horas o meses. Por eso el atacante que se queda deja vías de permanencia: cuentas, tareas programadas, reglas de correo, permisos concedidos a aplicaciones. Cada una le permite volver aunque cierren la puerta por la que entró.

Del lado de quien defiende, una intrusión se alarga cuando faltan dos cosas a la vez: saber cuántas vías hay y poder ver si alguien las usa. No hace falta ninguna técnica sofisticada para que dure meses: basta con que lo retirado sea menos de lo instalado y que nadie mire lo que queda.

La permanencia se mide en días de calendario entre el primer acceso conocido y el descubrimiento. Se cuentan restando las fechas, sin mirar las horas. La palabra «conocido» importa: es la primera fecha que los registros disponibles permiten sostener, y la ficha del expediente dice qué registros ya no existen. Por eso la cifra es un mínimo.

En la consola, la tabla de hitos trae el primer acceso con su fuente y el descubrimiento con la suya.

Cuando se hace la primera limpieza, se retira lo que se conoce. Lo que no se conoce sigue ahí, y el intruso lo sabe. En un expediente se lee con dos columnas a la vez: cuándo se instaló cada vía y si la limpieza la retiró.

De las que sobrevivieron, la más antigua es la que más tiempo tuvo para pasar inadvertida.

Contar vías es la primera medida de una limpieza incompleta. No importa tanto qué clase de vía sea cada una como cuántas quedaron: cada una es una oportunidad de volver sin pasar por la entrada original.

El número no está escrito en la tabla: sale de contar las filas que la limpieza dejó sin retirar.

Una limpieza es tan completa como el inventario que la guía. Si el inventario se arma con lo que se vio actuar al intruso, la limpieza quita lo visible y deja lo que él preparó en silencio.

Con la tabla de vías y la de hitos a la vista, hay que escoger la explicación que describe lo ocurrido sin añadir lo que el expediente no dice.