Búsqueda retrospectiva en registros

Un indicador nuevo vigila el futuro: cargado en una regla, avisa de lo que venga. La búsqueda retrospectiva mira hacia atrás: pregunta a los registros ya guardados si esa dirección, ese dominio o esa huella aparecieron antes de que se publicara. Es la única forma de saber si la empresa ya estaba en contacto con el atacante.

Su alcance lo marca la retención: solo se puede mirar tan atrás como los registros lleguen.

No todos los registros se conservan el mismo tiempo. Si el indicador habla de actividad desde el 18 de abril de 2028 y el registro de DNS empieza después, esa parte de la historia no se puede reconstruir con DNS: hay que decirlo en el informe, no suponer que «no hay nada».

Mira la tabla retencion.

El indicador trae la fecha desde la que se conoce su actividad. Las conexiones anteriores a esa fecha no se descartan sin más, pero pesan menos: la dirección pudo tener otro uso. Para decidir a cuántos equipos hay que mirar, se cuentan los distintos que contactaron la dirección desde esa fecha.

Revisa el cortafuegos: una entrada denegada también cuenta como intento de contacto.

Un acierto aislado dice poco; uno que se repite a la misma hora, con un tamaño parecido, empieza a parecer automático. Eso no prueba un compromiso, pero indica por dónde seguir. El cortafuegos habla de direcciones; el nombre del equipo está en el inventario.

Busca el equipo que contactó la dirección varias veces a la misma hora.

Un acierto en los registros no es una conclusión. Faltan preguntas: qué se dijeron, cuántos bytes salieron, si el nombre consultado era normal para esa estación y si el equipo tiene otras señales. Declarar un compromiso por una coincidencia genera alarmas falsas; ignorarlo, deja pasar un incidente.