Correlación: cuando un evento solo no basta

La correlación más simple cuenta: N eventos del mismo tipo, de la misma entidad, dentro de una ventana de tiempo. «Diez fallos de una cuenta en cinco minutos» es un umbral por ventana, y sus dos números deciden lo que ve. Con la ventana corta, la regla ve la ráfaga y no ve a quien va despacio; con la ventana larga, ve a quien va despacio pero suma también a la persona que se equivoca de contraseña a lo largo del día.

Quien ataca con paciencia se queda por debajo del umbral, lo conozca o lo sospeche. Por eso un umbral corto suele ir acompañado de otro largo con un número más alto, o de alguna de las formas que siguen.

Hay conductas que solo existen en orden. Muchos fallos de una cuenta son ruido o un ataque que no salió; un inicio de sesión correcto es un martes cualquiera. Pero muchos fallos seguidos de un inicio correcto, de la misma cuenta, desde la misma dirección y en pocos minutos, es alguien que acaba de acertar. La regla de secuencia exige las dos cosas, en ese orden, unidas por la entidad y dentro de una ventana.

Cada condición que se añade quita ruido y abre una puerta. Si la regla exige la misma dirección, no ve a quien falla desde un sitio y entra desde otro. Esa elección se escribe en la documentación de la regla, para que quien la lea sepa qué deja fuera.

La tercera forma no cuenta eventos: cuenta cosas distintas alrededor de una entidad. Cuántas cuentas distintas prueba una misma dirección, cuántos equipos distintos toca una misma cuenta. Una sesión de red en otro equipo es el día a día; la misma cuenta abriendo sesión en seis equipos distintos en media hora no lo es para casi nadie.

Para casi nadie, porque hay cuentas cuyo trabajo es justo ese: la de soporte que instala en veinte puestos, la de copias que recorre los servidores cada noche. Una regla de agregación trae siempre su lista de entidades esperadas, y cada nombre de esa lista es una excepción que se acota y se revisa como cualquier otra.

La forma más precisa pide que dos fuentes distintas cuenten la misma historia. El agente del puesto ve que un documento lanzó PowerShell; eso solo, en Delta, salta varias veces al día por una macro de facturación. El proxy ve una descarga de un dominio registrado hace días; eso solo es cualquier persona visitando una web nueva. Las dos cosas en el mismo equipo y con dos minutos de diferencia ya son casi siempre lo mismo: un documento que bajó algo.

El precio está en la palabra «dos». La regla depende de que las dos fuentes lleguen al SIEM, a tiempo y nombrando igual al equipo. Si el proxy deja de enviar, o envía con media hora de retraso, o escribe la dirección IP donde el agente escribe el nombre, la regla calla sin dar ningún error: es la cobertura de papel vista desde dentro de una regla.

En la consola están las detecciones del agente y las descargas del proxy del miércoles 3. Cruza las dos con la condición completa de REG-325: el mismo equipo, el proxy dentro de los dos minutos siguientes y un dominio con menos de 30 días.