Qué tocó la sesión

En la ventana de la sesión ajena, el registro de auditoría muestra que la cuenta hizo cosas que no hace en su día normal: sus acciones habituales son cambios de usuarios de recepción desde la oficina. Busca lo que nace en la madrugada desde el origen que ya conoces, no lo habitual.

Al contener, es tentador pensar que basta con la cuenta. Pero una sesión administrativa puede dejar objetos que no dependen de ella: una aplicación con su secreto, permisos concedidos en su nombre, roles asignados a su identidad. Léelos en el registro y piensa en cuáles seguirían funcionando si se deshabilita a la persona.

Cuando alguien actúa tan rápido tras entrar, suele ser porque ya sabía qué quería. El acierto de la cuenta está en la nota de arranque del caso, y el alta de la aplicación está en la auditoría. Para el informe la dirección querrá la cifra en minutos.

La sesión no se quedó en el directorio. Una de las asignaciones que consta en el Registro de actividad le dio permiso de escritura a la identidad nueva sobre un grupo de recursos de la suscripción. Hay que saber cuál, porque ahí se mide lo que pudo tocar.

Dos veces se consultaron las claves de la cuenta de almacenamiento de reservas, que guarda exportes con datos personales de huéspedes. Una clave consultada no es un dato leído, pero un dato leído tampoco se descarta solo porque no haya un evento. Lee cómo está registrada esa cuenta antes de elegir.