Reconstruir una intrusión — el acceso

Cada sistema escribe la hora a su manera: uno en UTC, otro en la hora local, otro con el reloj atrasado. Antes de cruzar dos registros hay que pasar todos a la misma referencia, y el desfase se apunta en las notas del caso. Un error de cinco horas hace que el intruso parezca inocente o que una acción parezca anterior a su causa. La referencia más cómoda para un equipo es UTC, y la hora local se anota solo al informar.

La consola trae una tabla que dice en qué zona escribe cada fuente. Es lo primero que se lee.

En el registro de la aplicación hay tres orígenes que fallaron al iniciar sesión. Uno insistió dieciocho veces sobre una sola cuenta y nunca entró; otro falló un par de veces con la misma cuenta y entró enseguida, que es lo que hace cualquiera que se equivoca al teclear. El tercero probó varias cuentas distintas, pocas veces cada una, y al final entró en una. Ese patrón es el de reutilizar credenciales filtradas de otro sitio: no adivina una clave, prueba combinaciones conocidas.

El que más falla no es el que logró entrar. Se mira quién cruzó la frontera.

La aplicación escribe la hora de Bogotá; el servidor web, la hora UTC. Para anclar el incidente en la línea de tiempo común, la primera cosa que se pide es la hora en la que esa cuenta consiguió entrar, expresada en la referencia de las dos fuentes. El resultado se puede comprobar contra el servidor web, que registra la respuesta que dio a ese inicio de sesión.

Una cuenta comprometida se reconoce por lo que hace de distinto, no solo por desde dónde entra. Tienes el uso habitual de las cuentas en un mes normal. Compara lo que el origen pidió después de entrar con lo que esa cuenta hace siempre: una ruta con cero usos en treinta días que de pronto devuelve una respuesta enorme es la que importa.

Tienes la línea de tiempo: múltiples intentos desde un mismo origen, una entrada, y una exportación que la cuenta nunca hacía. La tentación es bloquear la dirección y dar el caso por cerrado. Una intrusión se contiene cortando lo que el intruso tiene (la sesión y la contraseña de la cuenta), se conservan los registros antes de que se rote nada y se pide a los dueños de la cuenta y de los datos que confirmen qué fue legítimo.