Actividad interactiva y automática

Un registro de auditoría recoge lo que hizo un servicio, no lo que hizo una persona. Outlook no espera a nadie: sincroniza correo, abre adjuntos para indexarlos, aplica etiquetas — y cada una de esas acciones escribe un evento con su marca de tiempo y su dirección, indistinguible en forma de un clic.

En una exportación real de 132.867 eventos, dos operaciones son el 68,6% del fichero entero:

Operación	Eventos	Porcentaje
MailItemsAccessed	89.879	67,6%
AttachmentAccess	1.268	1,0%

Esas dos son las únicas que Corelog trae marcadas como automáticas. La lista es corta a propósito: varias otras parecen automáticas por el nombre y algunas probablemente lo sean, pero excluir una operación por intuición quita actividad real de las cifras de alguien, y estas son el par cuyo efecto está medido de principio a fin.

Por qué la dirección no puede responder esto

Son dos preguntas distintas, y ningún filtro responde la del otro:

• ¿Lo causó una persona? Solo lo puede decir la operación.
• ¿La dirección dice dónde estaba? Solo lo puede decir la red.

La misma exportación lo demuestra. El 63% de los eventos MailItemsAccessed llega desde la propia red declarada de la cuenta —es Outlook sincronizando en su portátil—, así que ninguna regla basada en la dirección puede separarlos de la actividad humana. Al revés, CopilotInteraction sí lo provoca una persona, y el 92% de esos eventos llevan una dirección de Microsoft y no la suya.

Por eso Corelog aplica las dos señales, por separado. La otra está en Direcciones y redes.

Qué cambia la clasificación

Excluir una operación afecta a tres cosas, y a nada más:

• El interruptor All activity / Interactive de la barra de herramientas, que filtra todas las vistas.
• El tiempo trabajado, donde contar la sincronización de fondo daba 1.655 horas en seis meses y una semana pico de 103,4 sobre las 168 que tiene una semana.
• La detección de Operaciones masivas, donde 942 de las 991 ráfagas de esa exportación eran un cliente de correo sincronizando.

No cambia los recuentos de la portada del informe, ni la matriz de actividad, ni ninguna otra detección. Los totales describen siempre el fichero completo.

No va solo de horas

El efecto sobre la ubicación es mayor que sobre el tiempo. Una comprobación de «dos países el mismo día» sobre esa exportación se dispara en:

	Días marcados
Contando todos los eventos	129 de 183
Contando solo actividad interactiva	4

Tres de esos cuatro días son el hallazgo genuino. Los otros 125 eran infraestructura de Exchange.

Cambiar la lista

La clasificación es tuya. Abre el panel de configuración de operaciones, que lista todas las de tu fichero con su volumen, y mueve las que quieras entre interactiva y automática. El informe imprime la lista que produjo sus cifras —incluidas las operaciones que hayas devuelto a interactiva, marcadas como tales—, porque una lista que no coincide con el cálculo no es evidencia de nada.

Todo lo que no está nombrado se trata como interactivo. La asimetría es deliberada: dejar dentro una operación de fondo exagera cuánto trabajó alguien, y el analista lo notará; quitar una real lo infravalora en silencio.