Sala 1 · lo que dicen los sensores de una red que no conoces

Una alerta dice qué firma saltó y entre qué direcciones, pero el equipo con nombre y dueño lo da el inventario. El registro de protocolo y la alerta comparten un identificador de comunicación: con él se pasa de una a otro, y de la conexión se saca el origen, que es el equipo que llamó. Una alerta no siempre dice que se bloqueó algo: eso depende de la acción que dejó el sensor.

Un equipo normal pregunta por nombres que existen. Cuando un programa genera nombres para encontrar a quien lo controla, la mayoría no existe y el servidor de nombres responde NXDOMAIN, una y otra vez, en pocos segundos. Contar esas respuestas por equipo separa un error de tecleo de una cadencia de programa. El equipo se identifica por su dirección.

Un sensor en modo de detección mira una copia del tráfico y avisa, pero no puede cortar la conexión; uno en línea sí puede, cuando la regla está en modo de bloqueo. Por eso una misma gravedad pesa distinto según el sensor que la vio: la gravedad más alta se escribe con el número 1, y la acción dice si el tráfico pasó o se detuvo.

Cuando una sesión cifrada se establece, el registro anota si el certificado del servidor se pudo validar: emisor desconocido, autofirmado, vencido o correcto. Un certificado vencido en un proveedor es un problema de mantenimiento de él, no una intrusión, pero igual se anota y se informa: es el tipo de hallazgo que un revisor no debe pasar por alto ni sobrevalorar.

Un señuelo no ofrece ningún servicio legítimo: cualquier acceso es sospechoso, pero no todos valen igual. Una copia de respaldo que lista un recurso una vez de madrugada se explica; una persona que lo abre y después intenta una sesión de escritorio remoto, no. La dirección de origen se traduce al equipo con el inventario.