Confirmar antes de contener

Un hallazgo de inicio de sesión desde varios orígenes tiene muchas explicaciones inocentes: alguien con la VPN encendida y apagada, un teléfono en datos móviles, un viaje. También tiene una explicación grave: la clave de una persona en manos de otra. El servicio no distingue entre ambas; lo hace el análisis.

El orden de trabajo es: leer el hallazgo, buscar en el registro de auditoría lo que esa identidad hizo antes y después, compararlo con lo que la empresa considera normal y, si es posible, preguntar a la persona o a su responsable. Si no hay explicación y hay señales de abuso, se contiene. Si hay explicación verificable, se cierra con una nota.

Las empresas mantienen una lista de las salidas a internet que reconocen: la oficina, la VPN corporativa, a veces un proveedor autorizado. Esa lista convierte una dirección anónima en algo que se puede clasificar: o es conocida, o no lo es. Una dirección desconocida no es culpable por sí sola, pero es el punto del que se tira.

Cruza los orígenes del extracto del registro de auditoría con las salidas conocidas de Marejada y localiza el que no figura en ninguna lista.

Lo que cuenta de un acceso sospechoso es lo que hizo la identidad una vez dentro. Un inicio de sesión sin segundo factor, desde un origen desconocido y seguido de la creación de una clave de acceso nueva, tiene una lógica clara: la clave nueva es una puerta trasera que sigue funcionando aunque cambien la contraseña. Es persistencia, y es lo que hace que un solo acceso se convierta en un problema duradero.

Busca en el extracto qué operación ejecutó la identidad sospechosa después de entrar, y escribe el nombre del evento tal como aparece.

El hallazgo de lucia.paredes tiene una explicación comprobable: dos orígenes que están en la lista de salidas conocidas, con segundo factor en ambos, y una persona que trabaja a ratos con la VPN. Es un benigno verdadero: ocurrió y estaba permitido. Se cierra, pero no en silencio: la nota de cierre dice qué se comprobó y por qué se descarta, de modo que otra persona pueda repetir la comprobación.

Si la regla se repite una y otra vez con orígenes conocidos, el hallazgo para dos orígenes legítimos es candidato a una regla de supresión del propio servicio, ajustada por origen, nunca apagada.

El tiempo entre el acceso y la primera acción de persistencia da una idea de la intención. Una persona que entra y actúa a los pocos minutos no está curioseando: sabía lo que quería hacer en cuanto entró. Medir ese intervalo también ayuda a decidir hasta dónde llevar la revisión: todo lo que esa identidad hizo desde la primera línea sospechosa es parte de la investigación.

Calcula cuántos minutos pasaron entre el inicio de sesión sin segundo factor de tomas.ibarra y la creación de la clave de acceso. Escribe solo el número.