Tu equipo no necesita saber de seguridad para usarla: abre la consola y ve, en lenguaje llano, qué cuenta está comprometida, qué hizo el atacante paso a paso y qué se ha hecho ya al respecto. Esto es la consola real, durante un ataque completo.
El estado, de un vistazo. Lo primero que ve tu equipo por la mañana: cuántos incidentes siguen sin contener —cero, en la imagen— frente a los que ya se neutralizaron solos. Al lado, cómo está trabajando SHIELD ahora mismo. Si esa primera cifra es cero, no hay nada que hacer hoy.Qué está protegido, sin que nadie lo configure. Cada versión de PHP del servidor aparece sola y se marca como calibrada. Debajo, las bases de datos y las librerías de cifrado que SHIELD ya está observando. Instalas una versión nueva y entra en esta lista sin que nadie toque un fichero.La amenaza, en una línea. Qué cuenta, qué gravedad, si está contenida —y la progresión del atacante: entró, ejecutó, intentó quedarse y llamó a su centro de mando. La exfiltración aparece apagada porque no llegó a ocurrir: se le cortó antes.El expediente completo, listo para actuar. A la izquierda, los indicadores del ataque —los ficheros que dejó, la dirección de su centro de mando, el código que solo vivió en memoria— y el estado: contenido. Debajo, el trabajo del analista: marcar, anotar y cerrar el caso, sin poder alterar la evidencia. A la derecha, la cronología de las 39 detecciones, una a una. Y arriba, dos botones que ahorran una tarde: descargar el caso entero o copiar sus indicadores para bloquearlos en el resto de tu flota.Cada pieza, con su ficha. Pinchas una versión de PHP y ves que SHIELD la reconoció y se ajustó a ella por su cuenta, junto a todo lo que ha visto pasar por ahí — incluido el system($_GET[1]) con el que el atacante intentó ejecutar comandos en el servidor.La prueba, hasta el último detalle. Cualquier detección se abre y enseña lo que haría falta en un juicio interno: qué mandó el atacante y dónde acabó —el valor exacto, el fichero y la línea—; qué proceso lo ejecutó, con su cadena completa; qué se hizo en respuesta —aquí, aislar la cuenta, en el acto y sin tocar a las vecinas—; y la cronología de ese momento, milisegundo a milisegundo. Esto es lo que convierte una alerta en un caso cerrado, y lo que tu equipo adjunta cuando el cliente pregunta qué pasó.
Todas las capturas están tomadas de la consola en marcha, durante un ataque completo ejecutado contra un servidor de pruebas: acceso, ejecución, intento de persistencia y llamada al centro de mando. Los mismos hechos que puedes reproducir en tu piloto.
Compruébalo con tus propios datos
Despliega el agente en tres servidores y déjalo en modo observación. En unos días tendrás el dato sobre tu propio tráfico: qué habría detectado, qué habría contenido y con cuánto ruido. Activar el bloqueo es un cambio de configuración posterior, y lo decides tú.
