Servidores de herramientas comprometidos: señales

Un servidor de herramientas es código de la empresa más todas sus dependencias, corriendo con las credenciales que necesita para leer o escribir datos. Cuando una de esas dependencias cambia de comportamiento, el servidor cambia con ella aunque nadie del equipo haya tocado una línea.

La señal más útil no es un error, porque un servidor comprometido suele funcionar bien: las herramientas responden y los clientes reciben lo que pidieron. La señal es un comportamiento nuevo que no corresponde a ningún cambio propio: un destino de red que no está en la lista de los esperados, envíos que crecen con cada lectura, una latencia que sube justo después de un despliegue que solo traía «recompilación». Cada una por separado admite una explicación inocente; juntas y alineadas en el tiempo con un despliegue, apuntan a lo que entró en ese despliegue.

El inventario dice con quién debería hablar cada servidor. El registro de salida de red dice con quién habló. La diferencia entre las dos listas es el primer hallazgo.

La primera conexión a ese destino tiene fecha y hora. Lo que pasó justo antes en el servidor es el sospechoso natural, y casi siempre es un despliegue. El registro de despliegues dice además qué cambio declaraba cada uno; un despliegue que solo dice «recompilación» y trae un comportamiento nuevo es exactamente lo que se busca.

Una práctica buena es guardar la huella de las definiciones de herramientas que un servidor publica y alertar si cambian sin una versión nueva: así se detecta un servidor que, de un día para otro, ofrece al agente una herramienta distinta o una descripción con instrucciones. En este caso esas huellas se guardaron cada semana.

El alcance empieza por el volumen: cuántas veces habló el servidor con el destino nuevo entre la primera conexión y el bloqueo. Esa cifra, junto con las llamadas a herramientas, sirve después para saber de qué clientes salieron datos.