Cómo llegó el acceso del proveedor

Un servidor de salto deja un registro por sesión: quién entró, desde qué dirección, a qué hora, hacia qué equipo y con qué ticket de cambio. La sesión de la madrugada del martes es la que abre la cadena del caso; la cuenta con la que se abrió es el primer dato del informe de acceso, y es un nombre de usuario, no un secreto.

Mira las sesiones del salto y quédate con la que se abrió el martes 18 de mayo.

El salto registra dos horas por sesión: cuando el proveedor entra al salto y cuando abre sesión en el equipo final. Lo que importa para saber cuánto tiempo estuvo alguien delante de la estación de ingeniería es lo segundo, desde que se abrió en el equipo hasta que se cerró. Cuenta minutos completos, sin redondear hacia arriba.

En el registro del salto, la sesión de la madrugada tiene la misma cuenta y la misma dirección de origen que las sesiones aprobadas del viernes, y el segundo factor se aprobó en el mismo dispositivo registrado que en la sesión del viernes 14. Lo que cambia es la hora y que no hay ticket ni aprobación. Una conclusión sobre quién estaba al otro lado tiene que apoyarse en lo que el registro sostiene, no en lo que parece verosímil.

Un acceso de proveedor correcto es bajo demanda y aprobado: una ventana con fecha y hora, un responsable en la planta que la aprueba y un ticket de cambio que la ampara. Para decir que una sesión se salió de lo aprobado hay que tener a mano el ticket de la que sí lo estaba.

En el registro del salto la ventana aprobada existe y está configurada, y la sesión fuera de ella generó una alerta. Pero la sesión se abrió, el segundo factor se aprobó y el proveedor llegó a la estación de ingeniería. Un control que solo avisa no corta nada: decide qué corrección de fondo corresponde a esto.