La línea base de comunicación

Una línea base de comunicación no es una lista de direcciones. Cada fila describe un par (quién habla con quién), pero también el puerto y el servicio, el patrón de la conversación (si es una conexión larga con consultas cada pocos segundos, una por hora o solo de vez en cuando) y las órdenes que se vieron (solo lecturas, o lecturas y escrituras). Con solo las direcciones, un equipo que cambia de servicio o empieza a escribir donde solo leía pasaría desapercibido, porque el par seguiría siendo el mismo.

La línea base se construye a partir de un periodo en que la planta estaba sana y se valida con quien la conoce: operaciones. Una conversación que el analista ve pero nadie sabe explicar no entra a la base por el simple hecho de haberse visto.

Comparada con la línea base, la semana trae dos pares que no estaban. Lo nuevo es una pregunta, no una conclusión. Las respuestas se buscan en otras fuentes de la casa, y la primera es el calendario de mantenimiento: las ventanas que operaciones aprobó, con su orden de trabajo, el equipo que las usa y la hora de inicio y de fin.

Uno de los dos pares nuevos cae dentro de una ventana aprobada: el equipo y la hora coinciden. Eso lo explica sin quitarle valor: el registro de lo que ocurrió queda para la auditoría de la ventana. Escribe la orden de trabajo que lo respalda.

El otro par nuevo no tiene ventana, ni orden de trabajo, ni coincide con ningún protocolo que la línea base conozca. Es una conexión de escritorio remoto desde un equipo de la oficina hacia el historiador de la planta. Dos cosas lo hacen más llamativo que una simple dirección nueva: el servicio no aparece en ninguna fila de la base de la planta, y viene de una dirección de la oficina que no es de las que hablan con el historiador.

Esto es lo que el monitoreo pasivo da y lo que no. Da el hecho, con hora y número de conexiones; no dice quién estaba al teclado ni por qué. Ese es el trabajo siguiente: con la dirección en la mano, se pregunta de quién es el equipo y quién lo autorizó.

Una línea base aprendida en un mal periodo vigila mal. Si el aprendizaje coincide con una ventana de mantenimiento, la base aprende como normal una conversación que solo es normal ese día. Si coincide con una intrusión que nadie había visto, aprende al intruso como parte de la planta, y a partir de entonces no avisará de él. Por eso la base se valida con operaciones, se construye en un periodo tranquilo y se revisa cuando la planta cambia de verdad: un equipo nuevo, una máquina nueva, un cambio de proveedor.

La alternativa tentadora, aprender automáticamente todo lo que se ve y actualizar la base sola, parece más cómoda y es la que más se equivoca: convierte cualquier cambio en la nueva normalidad sin que nadie lo apruebe.