Reconstruir una sesión sospechosa

El sensor de red asigna a cada conexión un identificador (el uid) que repite en todos sus registros: la conexión, la autenticación y los archivos tocados llevan el mismo. Unir por dirección y por hora es peor: dos conexiones seguidas del mismo origen al mismo destino se confunden, y un reloj con segundos de error las mezcla.

La regla de oficio es una sola: se une por el identificador y después se comprueba con las horas, no al revés. Si los dos criterios discrepan, uno de los dos relojes miente y eso también es un hallazgo.

El horario laboral de Torrentes es de 07:00 a 18:00 hora local y las tablas están en UTC. Convertir antes de decidir es lo que distingue un trabajo de madrugada de uno de oficina. Entre las conexiones de tor-pc-adm07 al servidor de archivos hay dos fuera de horario, una de dos segundos y otra de casi veinte minutos. La corta está en la tabla de autenticaciones con un resultado distinto del de la larga.

La cuenta de una sesión es la del registro de autenticación con éxito de su uid. Una cuenta que falla antes de acertar es un dato más de la historia, pero no es la cuenta de la sesión.

La duración de una sesión se calcula de la hora de inicio a la de fin de su conexión, no de la hora de la autenticación ni de la del primer archivo. Se da en minutos completos cuando el informe lo pide así, y el resto se deja en segundos para quien quiera el detalle. Un ejemplo con otros valores: de las 14:05:10 a las 14:21:50 pasan dieciséis minutos y cuarenta segundos, es decir, dieciséis minutos completos.

Es una cifra que se calcula, no se lee de una celda: la tabla trae el inicio y el fin, y la diferencia la haces tú.

El análisis de SMB del sensor anota, para cada sesión, las acciones sobre el recurso compartido: listar, abrir, leer. Ordenadas por hora cuentan el recorrido de la sesión, y el orden también es un dato: lo primero que se abre y lo último dicen qué buscaba quien estaba al otro lado.

Se lee lo que está escrito. El sensor sabe que se abrió un archivo y cuándo; no sabe qué contiene ni si se copió fuera del servidor. Eso se pregunta a otras fuentes.

Con la sesión reconstruida se puede decir, con horas, que una cuenta se autenticó desde un equipo concreto, que la sesión duró tanto y que abrió estos archivos del recurso. No se puede decir quién estaba ante el teclado: una cuenta de servicio que se usa desde un puesto, fuera de horario y con un fallo previo de otra cuenta, es exactamente lo que se ve cuando alguien tiene el control del equipo, pero también es lo que se vería con un administrador distraído. La reconstrucción separa los hechos de las conclusiones, y las conclusiones se apoyan en las otras fuentes.