EXPEDIENTES · MÉTODO, NO ANÉCDOTA
Cada expediente recorre una investigación completa sobre datos sintéticos: la evidencia que cité, el razonamiento, las alternativas que descarté, la decisión con su confianza y la detección que construí — con sus números medidos. Puedes reproducirlo tú mismo.
Casos sintéticos con fines educativos. Muestran método y criterio; no son telemetría real ni certifican protección.
Ningún expediente coincide con esa búsqueda.
Expediente 1
¿Qué evidencia convierte una coincidencia temporal en un caso que investigar?
Un registro sintético de Microsoft Graph muestra un inicio de sesión interactivo desde una ubicación distinta a la habitual. Tres minutos después, un registro sintético de Exchange muestra la creación de una regla de bandeja que reenvía correo a un dominio externo. El propietario de la cuenta no reconoce esa regla y pide preservar la evidencia.
Expediente 2
¿Cuándo deja de bastar el nombre de un proceso o de una ruta para juzgar una alerta?
Dos escenarios independientes del banco de detecciones: un proceso PowerShell con un comando codificado lanzado bajo una macro de Office, y la creación de una tarea programada que apunta a una carpeta de escritura pública. Los dos comparten el mismo problema de fondo: el indicador más visible también aparece en actividad legítima del mismo conjunto.