Postura del equipo y registros de autenticación

La postura (posture) es el estado de seguridad de un equipo en el momento de pedir acceso: si tiene el último parche, si el antivirus está activo, si el disco está cifrado. El sistema de control de acceso la compara con unos criterios y decide: conforme, entra a la red de trabajo; no conforme, queda en una red de remediación hasta corregir.

La postura se mide con un agente en el equipo o con información que el equipo ya reporta. Es una fotografía del momento y no una garantía permanente: el equipo puede cambiar al minuto siguiente. Por eso se revalúa cada cierto tiempo.

Lee criterios_postura.

Un control solo vale si aplica el criterio que dice aplicar. Compara cada fila de postura con criterios_postura: los días desde el último parche contra el máximo permitido, el antivirus y el cifrado. Busca un equipo al que el sistema dio el estado conforme aunque sus propios datos incumplen. Es un hallazgo de la configuración del control, no del equipo.

Un registro de autenticación trae el resultado y el motivo de cada intento. Los motivos más comunes son contraseña inválida, certificado caducado y cuenta deshabilitada. Muchos rechazos son operativos: un certificado de equipo que venció sin que nadie lo renovara rechaza al equipo cada vez que se enciende. Se corrige renovando el certificado, no investigando una intrusión.

Filtra por el motivo certificado caducado y cuenta las filas.

Otros rechazos sí merecen mirada. Una cuenta que falla varias veces seguidas en minutos, en puertos distintos y de madrugada, no se parece a una persona que se equivoca de contraseña en su puesto: se parece a alguien probando o a un equipo que cambia de lugar. Una sola fila no concluye nada; el patrón sí es una señal. Compara, en autenticaciones, la cuenta, la hora, los puertos y el motivo. Un rechazo seguido de una aceptación en el mismo puerto es lo normal: la persona corrigió.

La señal no demuestra una intrusión: puede ser un portátil que se movió por la planta con una contraseña vieja guardada. Tampoco se ignora. El camino es llevar la evidencia ordenada al equipo que responde y verificar con la persona dueña de la cuenta, sin tomar medidas por cuenta propia sobre ella.