De la alerta al host y a su línea de tiempo

Una alerta de red nombra la dirección que vio el sensor. En una red de oficina la mayoría de los puestos reciben su dirección de un servidor (DHCP) por un tiempo limitado, la concesión, y cuando termina la dirección puede quedar libre para otro equipo. Una misma dirección, entonces, es de equipos distintos en horas distintas.

El servidor de direcciones apunta cada concesión: qué equipo la recibió, desde qué hora y hasta cuál. Esa es la fuente que se consulta para pasar de la dirección al equipo, con la hora de la alerta en la mano. El inventario de activos sirve para saber quién es el responsable, pero guarda una última dirección conocida por equipo y se actualiza de vez en cuando; no sabe lo que pasó hace veinte minutos.

La cola de la tarde trae dos alertas. La primera, de severidad media, es la que se atiende; la segunda es una nota de severidad baja sobre una impresora que va a quedar en el ticket como contexto. Para la primera se cruzan tres tablas: la alerta, que da dirección y hora; las concesiones, que dicen quién la tenía en ese minuto; y el inventario, que ayuda a comprobar que el equipo existe y a quién responde.

Un detalle de método: cuando el inventario y las concesiones se contradicen, gana la concesión de esa hora, porque es el dato que apuntó el servidor en el momento. Una contradicción no es un error de nadie; es la señal de que la dirección cambió de manos durante el día y de que hay que decir cuándo.

Con el equipo identificado, el siguiente dato es quién responde por él: la persona o el área a la que se le pregunta si lo que se vio es lo esperable y, si hace falta, a quien se le avisa. Ese dato vive en el inventario, indexado por equipo, que es la entrada correcta una vez que ya se sabe cuál es.

El orden importa. Buscar el responsable por la dirección habría dado la persona de otro equipo, y se le habría preguntado por una conexión que no hizo. El ticket que sale de esa llamada confunde a todos y dura más que el incidente.

Una alerta es un instante; el caso es un intervalo. Para armar la línea de tiempo se busca en el registro del cortafuegos todo lo que ese equipo hizo con ese destino, no solo la conexión que disparó la regla. La alerta suele saltar en la segunda o tercera vez que algo se repite, y lo que importa es la primera: marca el comienzo de lo que se investiga y la hora desde la cual hay que mirar el resto de fuentes.

El registro del cortafuegos tiene todas las conexiones de la red hacia el destino. Los intervalos entre ellas, además, dicen si es una persona que visita una página o un programa que llama cada cierto tiempo.

El registro del cortafuegos está indexado por dirección. Si se pide todo lo que salió de esa dirección durante el día, mezcla lo que hizo el equipo que la tuvo por la mañana con lo que hizo el que la tiene ahora. Meter las dos mitades en la misma línea de tiempo es el error más común al pasar de la alerta al host: el caso queda con acciones que su equipo nunca hizo.

La línea de tiempo del equipo empieza cuando su concesión empezó. Cuéntala desde ahí hasta la alerta.