Reglas y alertas relacionadas con vulnerabilidades

Según la documentación de Wazuh, las alertas por cambios de paquetes se generan solo cuando una vulnerabilidad se añade o se quita del inventario porque se instaló o se quitó un paquete. No hay alerta por el simple paso del tiempo, ni cada vez que el hallazgo se vuelve a ver en el inventario.

También hay un caso sin alerta: cuando un agente se reconecta a otro nodo de un clúster, sincroniza su inventario con ese nodo, y esa sincronización inicial no genera alertas aunque haya cambios.

La tabla alertas recoge las alertas del último mes y la tabla hallazgos_activos los hallazgos en estado Active al corte. Si un hallazgo activo no tiene alerta, la razón se busca en los eventos del agente. Cruzar ambas tablas es el control de calidad más barato del flujo de alertas.

La detección también cubre el sistema operativo, no solo los paquetes: el hallazgo de la categoría Operating System del servidor de archivos es uno de los activos.

Revisa la tabla eventos_del_agente y busca qué le pasó al agente del servidor de archivos el 2026-10-03. Un hallazgo sin alerta no está escondido: es un hallazgo que el analista debe haber visto por otra vía, en el estado del agente o en el panel de vulnerabilidades.

Cada alerta lleva la regla que la disparó y su nivel. Las reglas de la tabla reglas_propias son de Quebradagrande: separan por severidad, por rol del equipo y por exposición. El nivel es lo que luego decide qué llega al correo del analista y qué solo queda en el panel.

La política de Quebradagrande envía por correo las alertas de nivel 12 o más. Cuenta cuántas de las seis alertas del mes cumplen esa condición.