Una alerta de inicio de sesión sospechoso es el comienzo de una investigación, no una conclusión. Un acceso fuera del horario habitual puede ser legítimo; una autenticación aparentemente normal puede formar parte de una intrusión. El triaje necesita reunir suficiente contexto para distinguir los dos escenarios.
Este artículo presenta una secuencia de triaje, desde los campos que necesitas hasta la decisión documentada.
Empieza por el evento original
Registra la hora con zona horaria, cuenta, origen, destino, resultado de la autenticación y método utilizado. Un evento de autenticación útil contiene, como mínimo:
| Campo | Por qué importa |
|---|---|
| Hora con zona horaria | La correlación entre sistemas depende de ello |
| Identificador de la cuenta | El sujeto de la investigación |
| Dirección de origen y ASN | El ASN dice más que la IP: nube, operador, VPN |
| Agente/dispositivo | Un cambio de dispositivo es señal, no prueba |
| Resultado | Éxito, fallo y el motivo del fallo |
| Método de autenticación | Contraseña, MFA, token, llave y qué factor se utilizó |
| Identificador de sesión | Conecta el inicio de sesión con lo que vino después |
| Aplicación o servicio de destino | No todos los accesos tienen el mismo peso |
Los campos ausentes son una limitación del análisis y deben aparecer en la conclusión. Si el sistema no registra el dispositivo, escríbelo: es diferente de «el dispositivo era conocido».
El motivo del fallo merece destacarse. «Contraseña incorrecta» y «contraseña correcta, MFA rechazado» cuentan historias opuestas: la segunda indica que la credencial ya está comprometida y el segundo factor está bloqueando el acceso. Muchas plataformas separan estos códigos y la distinción suele pasar inadvertida.
Evita evaluar un evento aislado. Busca intentos anteriores y posteriores de la misma cuenta, origen o dispositivo. Una secuencia de fallos seguida de un éxito puede indicar un intento de adivinar la contraseña, pero también un usuario que corrigió una credencial antigua.
Distingue los patrones de intentos
Tres patrones parecidos en volumen, diferentes en intención:
| Patrón | Firma | Qué sugiere |
|---|---|---|
| Fuerza bruta | Muchas contraseñas contra una cuenta | Objetivo específico |
| Rociado de contraseñas | Una contraseña común contra muchas cuentas | Barrido amplio y silencioso |
| Relleno de credenciales | Pares usuario/contraseña de filtraciones | Reutilización de contraseñas entre servicios |
El rociado es el más fácil de pasar por alto: cada cuenta registra uno o dos fallos, sin activar el bloqueo por intentos. Solo aparece al mirar el conjunto: muchas cuentas fallando desde el mismo origen en una ventana corta. Si tu detección se organiza por cuenta, es ciega ante este caso.
Compara con el comportamiento esperado
Pregunta si la cuenta suele acceder a ese servicio, si hubo un cambio reciente de dispositivo y si el origen es compatible con el trabajo de la persona.
La dirección IP y la ubicación aproximada son señales imperfectas. Las VPN corporativas, redes móviles, servicios en la nube y viajes alteran la apariencia del acceso. La geolocalización por IP se equivoca con frecuencia y tratar «país diferente» como compromiso genera muchos falsos positivos.
La señal de «viaje imposible» —dos accesos geográficamente incompatibles con el tiempo transcurrido— es más fuerte que la ubicación aislada, pero también falla con una VPN: la persona desconecta la VPN y aparece en otro país en segundos.
Busca señales independientes del propio inicio de sesión:
- creación de una nueva sesión en un servicio poco habitual;
- cambio de factores de autenticación o de métodos de recuperación;
- creación de una regla de reenvío de correo;
- acceso a un volumen inusual de datos;
- acciones administrativas justo después del inicio de sesión;
- concesión de permisos a una aplicación.
El segundo punto es el más valioso de la lista. Registrar un nuevo método MFA es una de las acciones más consistentes de quien acaba de obtener acceso: así se mantiene el acceso tras cambiar la contraseña. Un inicio de sesión extraño seguido del registro de un factor nuevo es una señal mucho más fuerte que cualquiera de los dos por separado.
Formula hipótesis verificables
Escribe hipótesis que puedan confirmarse o refutarse, indicando explícitamente la prueba:
| Hipótesis | La confirmaría | La debilitaría |
|---|---|---|
| Titular en un dispositivo nuevo | La persona confirma; MFA aprobado al primer intento; sigue el patrón de uso | Ninguna actividad posterior compatible con el trabajo |
| Credencial obtenida por un tercero | Nuevo factor MFA; reenvío creado; acceso atípico | Actividad idéntica al historial de la cuenta |
| Sesión robada | Sesión activa sin un evento de autenticación correspondiente | Inicio de sesión normal registrado antes de la sesión |
La tercera merece atención: cuando un atacante importa una cookie de sesión válida, no hay un evento de inicio de sesión, porque ya entra autenticado. Una investigación que solo mira eventos de autenticación no ve este caso. La señal está en la sesión que existe sin un inicio de sesión que la explique.
Esto impide que la investigación se convierta solo en una colección de indicadores. Si el riesgo es alto y existe evidencia suficiente, sigue el procedimiento de respuesta de la organización, preservando los registros relevantes antes de las acciones que alteren el estado de la sesión.
Una precaución con la confirmación del usuario: preguntar «¿fuiste tú?» es útil, pero la respuesta por sí sola no cierra el caso. La persona pudo haber aprobado un MFA bajo ingeniería social y responder sinceramente que sí.
No todo inicio de sesión extraño es un ataque
Antes de escalar, conviene conocer las explicaciones benignas que producen exactamente las mismas señales. Son la mayoría de los casos:
| Señal observada | Explicación benigna común |
|---|---|
| Origen en un centro de datos o nube | VPN corporativa, iCloud Relay, proxy de la empresa |
| Varios países en el mismo día | VPN conectada y desconectada, roaming del operador |
| Ráfaga de autenticaciones idénticas | Cliente de correo reconectando después de una caída |
| Inicio de sesión fuera de horario | Zona horaria de un viajero, trabajo asíncrono, guardia |
| Dispositivo desconocido | Actualización del sistema, navegador nuevo, cambio de equipo |
| Fallos repetidos seguidos de éxito | Contraseña antigua guardada en un segundo dispositivo |
La penúltima fila provoca mucho ruido: una actualización del sistema operativo puede cambiar el identificador del dispositivo y hacer que un equipo conocido parezca nuevo.
La última merece una prueba específica. Si los fallos proceden de un dispositivo que también tiene sesiones legítimas activas, la hipótesis más probable es una credencial desactualizada en un cliente, no un intento de intrusión. Comprobar si los fallos cesan después de que la persona cambie la contraseña suele cerrar el caso.
Conocer estas explicaciones no es motivo para descartar alertas. Es lo que permite descartarlas con fundamento, escribiendo qué hipótesis benigna se verificó y cómo: la diferencia entre cerrar un caso e ignorarlo.
Una secuencia sencilla de triaje
Antes de profundizar, responde en orden:
- ¿El evento ocurrió realmente? Existen los errores de recopilación y la duplicación.
- ¿La identidad y el activo tienen sentido en ese contexto?
- ¿Hay señales de continuidad o impacto?
- ¿Qué acción reduce el riesgo ahora?
La secuencia separa validación, análisis y decisión: así una observación inusual no se convierte automáticamente en «compromiso». El orden también evita el error más costoso del triaje: escalar basándose en un evento que se registró incorrectamente durante la recopilación.
Termina con una decisión documentada
Registra la línea de tiempo, las fuentes consultadas, el grado de confianza y la acción tomada. Un registro útil contiene el hecho observado, la hipótesis, la evidencia que falta, el responsable y la hora de la próxima revisión. Si hay incertidumbre, escríbela.
La calidad de la investigación mejora cuando otra persona puede entender por qué una sesión se mantuvo, se cerró o se escaló; también tú, tres meses después, cuando reaparezca el mismo patrón.
Si faltaron datos, indica qué registros o correlaciones mejorarían la siguiente investigación. Esa anotación convierte el triaje en una mejora del proceso: una lista de campos ausentes, acumulada en varios casos, es el argumento más concreto para mejorar la telemetría.
Siguiente paso
Toma la última alerta de autenticación que investigaste y comprueba cuántos de los campos de la primera tabla registra realmente tu entorno. La respuesta define el límite de tu capacidad de investigación y suele estar más abajo de lo imaginado antes de comprobarlo.
Investiga únicamente sistemas bajo tu responsabilidad o con autorización explícita.
