Búsqueda de correlación, de una consulta a una regla

Una búsqueda de correlación se programa: se ejecuta cada cierto intervalo y mira un rango de tiempo hacia atrás. Son dos decisiones distintas. El intervalo dice cada cuánto se mira; el rango dice cuánto pasado se mira cada vez. Si el rango es más largo que el intervalo, las ejecuciones se solapan y un mismo evento lo ven varias veces.

Abre busqueda_de_correlacion y lee programacion y rango_de_busqueda. Una regla que se ejecuta cada 15 minutos y mira 60 minutos hacia atrás vuelve a ver cada evento en cuatro ejecuciones seguidas.

Para que el solapamiento no llene la cola, la búsqueda tiene una supresión: una ventana de tiempo y una lista de campos de agrupación. Si un resultado coincide en todos esos campos con uno que ya alertó dentro de la ventana, no crea otro notable. Es una función de la propia búsqueda y actúa antes de crear nada; no es lo mismo que ocultar notables ya creados desde Incident Review, que se siguen creando aunque no se vean.

Hay una condición delicada: la lista solo puede usar nombres de campo que existan en lo que la búsqueda devuelve. Un campo que no existe es nulo y es igual en todos los resultados.

Compara agrupar_supresion_por en busqueda_de_correlacion con las columnas de resultado_de_la_busqueda.

La condición de la búsqueda está al final de su texto: una cuenta con al menos seis fallos y un éxito desde la misma fuente en el rango. Es una forma sencilla de acercarse a «alguien probó contraseñas y una acertó». Para saber si funciona, no se mira el resultado de la regla: se vuelve a los eventos de autenticacion y se comprueba a mano qué combinaciones de fuente y cuenta la cumplen.

La consulta autenticacion | stats count by src, user, action resume los eventos por fuente, cuenta y resultado.

La búsqueda de Porcelanas del Guavio crea el primer notable del día y ninguno más. La causa es la tarea 2: con un solo campo de agrupación que no existe en los resultados, todos los resultados son idénticos para la supresión. A la ventana de un día, el primero acalla a los demás sin importar de qué fuente o cuenta vengan.

El síntoma engaña: el panel se ve tranquilo y la regla parece sana, pero está dejando pasar casos distintos.