Una historia real, estadísticamente hablando
A las 03:14, alguien se convirtió en su director financiero.
Un token robado. Un equipo que nunca ha visto. Cuatrocientos documentos fuera antes del amanecer y ni una sola alarma, porque cada evento, por separado, parecía legítimo. Esta página reproduce la brecha que sus herramientas no verían. Siga bajando.
- 03:14 inicio de sesión
- 03:16 dispositivo desconocido
- 03:17 ASN de alojamiento
- 03:20 línea base rota
- 06:05 radio de impacto
- 06:12 acceso cortado
La reproducción
- 03:14
Un token válido inicia sesión
Sin petición de contraseña, sin desafío de MFA, sin alerta. La credencial es legítima: ahí está todo el truco. Su EDR nunca ha visto este equipo, así que no tiene nada que decir.
- 03:16
El equipo que no debería existir
Nunca inscrito, nunca autenticado: accede a datos sin ningún inicio de sesión observado. 1Security lo clasifica como dispositivo en la sombra: reconstruido a partir de actividad real, identificado por una huella estable e invisible para Intune por definición.
- 03:17
El origen que no encaja
Un ASN de proveedor de alojamiento en un país donde usted no opera. Ubicaciones resuelve cada acción en país, ciudad y red, con el ruido de los propios centros de datos de Microsoft ya descartado, así que este origen significa algo de verdad.
- 03:20
Cuatro veces el apetito habitual
La actividad sobre archivos se dispara por encima de la línea base de 30 días de esta propia cuenta. Anomalías abre un episodio: líneas base por usuario, episodios en lugar de eventos y un umbral de alerta que usted mismo coloca.
- 06:05
El radio de impacto, exactamente
Qué 340 archivos, qué dos cuentas, qué sesiones y desde dónde. Atribución acción por acción sobre tres años de memoria: la investigación que antes exigía 12 horas de recomponer registros, hecha en 10 minutos.
- 06:12
Cortado, preparado, documentado
Acceso revocado, vínculos caducados y cada acción registrada en un historial de revisión. La revocación compuesta entiende el grafo de permisos (concesiones directas, vínculos, grupos, sitios) y pregunta antes de tocar nada que afecte a otras personas.
Epílogo
Sus herramientas vieron todo esto. Simplemente no tenían motivo para prestarle atención.
Cada evento de esta historia apareció en algún registro. El inicio de sesión era válido, el dispositivo estaba en silencio, el origen era una dirección IP que nadie resolvió y el volumen de descargas era solo una cifra sin línea base. La brecha no era invisible: estaba sin ensamblar.
No vendemos miedo. Vendemos visión: los mismos eventos, ensamblados en una sola historia, mientras todavía son las 03:20 y no la mañana siguiente.
Reproduzca esto en su propio inquilino.
Conéctese en solo lectura y vea cómo han sido realmente los últimos 90 días: dispositivos en la sombra, orígenes extraños, líneas base rotas y todo lo demás.