De los marcos a la decisión — describir el caso y elegir qué detectar

Un caso se describe primero por lo que se vio y cuándo: quién avisó, a qué hora, y qué venía haciendo el atacante hasta ese momento. Sin eso, el informe cuenta la historia que se quiere contar y no la que pasó.

Abre el laboratorio y mira la reconstrucción del caso. Cada fila tiene una columna que dice qué regla sonó, si alguna.

La diferencia entre la primera fila de un caso y su primer aviso se llama, en el trabajo, tiempo sin detectar, y es el número que un SOC trata de acortar. Se calcula con la hora de la primera fila del caso, no con la de la primera alerta, y se da en minutos para poder compararlo con otros casos.

La pirámide aplicada a las reglas que ya existen responde a otra pregunta: qué parte de lo que el atacante hizo podía ver el SOC. Si todas las reglas están en la parte baja, el atacante que cambia de valores pasa sin que suene nada, y eso pasó aquí: tres reglas activas, todas de listas, y un caso que solo se vio porque una lista se actualizó.

Elegir una detección «porque parece importante» no se puede defender ni repetir. El jefe del turno tiene tres reglas en orden: se descarta lo que no se puede alimentar, se prefiere el nivel más alto y, si empatan, el que menos falsos positivos traiga. No es la única forma de decidir, pero es una que cualquiera puede comprobar.

Aplica el criterio a las seis propuestas de la tabla. Las horas de trabajo dan la última palabra solo si el criterio no decide, y aquí sí decide.

A quien decide no le sirven los nombres de los marcos, le sirve lo que cambia. El informe de un caso necesita decir qué pasó, por qué no se vio antes y qué se propone, con números verificables. Los marcos son el modo de llegar a eso, y no el contenido.