Indicadores: viaje imposible, bloqueo de cuentas, consumo de recursos y logs faltantes

Un indicador de actividad maliciosa es una pista observable de que algo anda mal: un inicio de sesión extraño, un pico de tráfico, un log que debería estar y no está. Security+ enumera un conjunto de indicadores que a menudo señalan un ataque en curso, y las preguntas del examen suelen describir uno o dos de ellos y preguntar qué está ocurriendo o qué investigar. Reconocer indicadores es el trabajo cotidiano de los analistas del centro de operaciones de seguridad (SOC), que los ven en el sistema de gestión de información y eventos de seguridad (SIEM), en los logs del proveedor de identidad y en las alertas de los endpoints. El objetivo es relacionar la pista con una causa probable y un siguiente paso razonable.