Alerta, caso y observable

Una alerta es un aviso que llega desde otra herramienta (el SIEM, la pasarela de correo, el EDR) y espera a que una persona decida qué hacer con ella. Un caso es la unidad de trabajo: tiene responsable, gravedad, tareas y un historial de lo que se hizo. Un observable es un dato concreto que aparece en el trabajo (una dirección IP, un dominio, una cuenta de correo, un archivo) y que se puede buscar, enriquecer y, si procede, compartir.

Plataformas como TheHive trabajan con ese vocabulario: las alertas entran a una cola, se importan a un caso o se descartan, y los observables cuelgan del caso. La alerta no tiene dueño; el caso sí.

Cada alerta tiene un estado: nueva (nadie la ha mirado), descartada (alguien decidió que no merece trabajo) o importada (ya forma parte de un caso). Leer la cola antes de empezar evita abrir un caso para algo que otra persona ya está trabajando.

Abre la consola y ejecuta SELECT * FROM alertas WHERE estado = 'importada'.

Los avisos llegan por separado, cada uno desde su fuente, pero muchas veces hablan de la misma cuenta, el mismo equipo o el mismo dominio. Eso es lo que permite agruparlos: una entidad compartida en una ventana de tiempo corta. Varios avisos de la misma persona en pocos minutos, de herramientas distintas, son una historia contada en varias voces, no varios problemas.

Ejecuta SELECT * FROM alertas WHERE cuenta = 'kbernal' y cuenta las filas.

Antes de abrir un caso se mira si ya hay uno abierto sobre lo mismo. Si lo hay, las alertas nuevas se importan a ese caso y se anota por qué; si no, se abre uno nuevo y se le pone responsable y gravedad. Duplicar casos reparte la evidencia entre varios responsables y nadie ve la historia completa.

Ejecuta SELECT * FROM casos WHERE estado = 'abierto'. El caso abierto es sobre cobros falsos con un enlace a proveedores, y una de las alertas nuevas de la cuenta kbernal es un enlace reescrito que la persona abrió.