Alertas agrupadas — cuándo cinco son un solo incidente

Dos alertas pertenecen al mismo incidente cuando comparten una entidad —una cuenta, un equipo afectado, una dirección de origen— dentro de una ventana de tiempo razonable, y cuando una explica a la otra: la ráfaga de contraseñas explica el inicio de sesión que viene después, y el inicio de sesión explica lo que la cuenta hace dentro. Esa cadena es el incidente; cada alerta es una pieza.

Lo que no une a dos alertas: que tengan la misma regla, que pasen la misma noche o que «suenen parecido». Y no toda entidad compartida vale: la pasarela VPN o el proveedor de identidad los usa toda la empresa, así que compartirlos no une a nadie, igual que dos personas no son cómplices por entrar por la misma puerta del edificio.

Agrupar es tirar de un hilo. Empiezas por una entidad —la cuenta de la alerta que ya sabes que es incidente—, miras qué otras alertas la comparten y, en cada una, buscas otra entidad nueva de la que seguir tirando. El hilo a menudo cambia de nombre por el camino: la entrada llega desde una dirección externa, pero una vez dentro, lo que hace la sesión en los servidores aparece con la dirección interna que le dio la VPN. Si solo buscas por la dirección externa, pierdes todo lo que pasó dentro.

Con la dirección interna en la mano, tira otra vez del hilo. Puede aparecer una alerta con otra cuenta y otro servidor, que leída sola parece otro asunto. Antes de unirla, comprueba de quién era esa dirección a esa hora: los túneles de la VPN se reparten y se reutilizan, y la misma dirección puede ser de dos personas distintas el mismo día.

Falta el extremo de entrada del hilo. La dirección externa desde la que entró la cuenta no probó solo esa cuenta: lo que hizo justo antes también es parte de la historia. Y hay alertas que se parecen a las del incidente —la misma regla, la misma pasarela, la misma noche, otra «salida de datos»— sin compartir con él ninguna entidad. Esas se quedan fuera, cada una con su propio ticket.

El turno de noche abrió dos casos en respuesta a incidentes, con dos horas de diferencia y en manos distintas, y ninguno sabe del otro. Ahora sabes que son la misma historia.