Registros de inicio de sesión leídos

Un inicio interactivo es el de una persona que escribe su contraseña, aprueba un segundo factor o elige su cuenta. Un inicio no interactivo lo hace una aplicación cliente en nombre de la persona, con un token que ya tenía, sin pedirle nada. Aparecen en vistas separadas del registro, y por eso se pasan por alto.

En un incidente importa mucho: después del primer acceso, casi todo lo que hace quien tiene la sesión se ve como inicios no interactivos, porque el cliente renueva sus tokens solo. Una cuenta con inicios no interactivos que siguen llegando de un origen ajeno semanas más tarde no implica que alguien escribiera la contraseña de nuevo: implica que un token sigue vivo.

Se busca lo que no encaja con la cuenta, no lo que parece malo: la persona trabaja desde las oficinas, en horario de oficina, y de pronto aparece un inicio correcto desde otro país a las 03:00 UTC. El primer acierto desde un origen nuevo es el punto de partida de la cronología; todo lo anterior son otros hechos.

La tabla de inicios trae la hora, la aplicación, la dirección, el país, el tipo y el resultado de cada intento.

Los fallos previos al acierto cuentan algo: contraseñas que no eran, o que alguien adivinó tras varios intentos. No dicen cómo se obtuvo la contraseña correcta, y el registro no lo sabe; solo dice cuántas veces se falló desde ese origen antes de que entrara.

Se cuentan las filas con resultado de fallo de la cuenta, desde esa dirección, anteriores al primer acierto.

El corte de la investigación depende de esta pregunta: ¿hay inicios después del primer acceso, y llegan desde el mismo origen? Se cuentan los inicios no interactivos correctos de esa dirección en la ventana que interesa. Una ventana mal escogida, o contar también el primer día, cambia el número.

Cada fila del registro lleva el resultado de las políticas de acceso condicional que se evaluaron. Un resultado «correcto» significa que la política aplicaba y las condiciones se cumplieron. «No aplicado» significa otra cosa: que la política no cumplía sus condiciones para ese inicio concreto (por ejemplo, que no era un cliente de los que filtra, o que la persona estaba excluida). Un fallo de contraseña ni siquiera llega a evaluarse: las políticas se evalúan después del primer factor.

Confundir «no aplicado» con «aprobado» lleva a concluir que las políticas protegieron algo que en realidad nunca miraron.