Alertas basadas en riesgo

En el modelo de riesgo de ES, una búsqueda de correlación puede, en vez de crear un notable, añadir un evento de riesgo a un objeto de riesgo: un sistema, un usuario u otro tipo de entidad. El evento lleva un puntaje (risk_score), un mensaje y el tipo de objeto. Esos eventos se guardan en el índice de riesgo, y el puntaje de un objeto es la suma de sus eventos de riesgo en un periodo.

Después, una regla mira esa suma y crea un notable de riesgo solo si un objeto supera un umbral. Es la misma idea que un analista aplica a ojo, pero hecha por el sistema y con la memoria de todo el día.

La regla de la empresa mira el puntaje total por objeto en 24 horas. En umbral_de_riesgo están la condición y la condición adicional: un mínimo de puntaje y un mínimo de reglas distintas que aportaron. Los valores son de la empresa ficticia; no son los de fábrica del producto.

En eventos_riesgo están los diez eventos del día. Suma por objeto de riesgo y comprueba las dos condiciones. Para ver los de un solo objeto, la consola entiende eventos_riesgo | where risk_object="..." con el nombre de un usuario o de un equipo de la tabla.

El puntaje no tiene por qué ser positivo. Una búsqueda puede restar riesgo cuando sabe que una actividad es esperada, por ejemplo la de un escáner de vulnerabilidades que alguien aprobó para esa ventana. Restar no borra los eventos anteriores: añade un evento de riesgo con puntaje negativo que el total sí cuenta.

Abre los eventos de riesgo del equipo pc-calidad-07. Suma todos, incluido el que resta.

Restar riesgo es útil y también es un lugar donde esconder cosas. Un objeto que juntó 105 puntos y recibe una resta de 20 por «actividad esperada» queda en 85 y escapa del umbral de 100, sin que nadie haya revisado lo que hizo.

La resta solo es sana si se apoya en algo comprobable, como una ventana aprobada y una fuente conocida, y no en una suposición sobre quién «seguramente» hizo algo.