Enriquecer la alerta antes de decidir

Los tres cajones dependen de una sola pregunta: ¿ocurrió lo que la regla dice que vigila? Si no ocurrió —el dato estaba mal o la lógica de la regla se equivocó—, es falso positivo. Si ocurrió y estaba autorizado, es lo que muchos equipos llaman benigno verdadero (o verdadero positivo benigno): la regla acertó, y lo que vio era legítimo. Si ocurrió y nada lo autoriza, es incidente. La distinción importa porque cada cajón pide una cosa distinta: el falso positivo pide arreglar la regla, el benigno verdadero no la toca.

Ningún dato de la alerta contesta esa pregunta: la contesta lo que averiguas al enriquecerla. Una alerta de «acceso desde un país inusual» puede resultar ser la salida a internet de tu propia oficina mal ubicada por la base de geolocalización (no hubo acceso desde fuera), una empleada de viaje con el viaje aprobado (hubo acceso desde fuera y estaba bien), o alguien con una contraseña que no es suya.

El primer enriquecimiento casi siempre es la dirección de origen. Las fuentes de reputación —listas públicas, el proveedor de inteligencia que tenga contratado el SOC, el historial del propio SIEM— dicen a quién pertenece (su sistema autónomo, el número con el que cada red se anuncia en internet), qué tipo de red es y si alguien la ha visto haciendo algo. Una conexión doméstica, la red de un hotel y la salida de tu propia oficina son lo que se espera de una persona. Un servidor alquilado por horas, no tanto.

La reputación no condena por sí sola: una dirección alquilada cambia de dueño, y una red limpia puede usarla cualquiera. Lo que hace es mover la balanza, y sobre todo te dice qué buscar después.

El segundo enriquecimiento es la persona. El directorio de la empresa dice de qué área es la cuenta, qué cargo tiene, a quién responde y si tiene segundo factor. Cada dato cambia la lectura: una cuenta de servicio no debería entrar por VPN; una cuenta creada hace dos semanas todavía no tiene costumbres que comparar; una cuenta sin segundo factor queda protegida solo por su contraseña.

Y el directorio dice a quién preguntar. El analista de nivel 1 no adivina si un acceso tiene explicación: se lo pregunta a quien puede saberlo, que casi siempre es el jefe directo de la persona, y deja escrito en el ticket qué preguntó y qué le contestaron.

El tercer enriquecimiento es el tiempo alrededor de la alerta. Antes: ¿qué hizo esa dirección o esa cuenta en los minutos previos? Una persona que se equivoca prueba su contraseña dos veces; una dirección que prueba cinco cuentas distintas en dieciséis minutos está haciendo otra cosa. Después: ¿qué hizo la sesión una vez dentro? Ahí se cruza con el inventario, que dice qué es cada equipo y cuánto importa: no es lo mismo que la sesión visite la intranet de noticias que el sistema donde viven los datos bancarios de los proveedores.

Este paso es el que más cambia la prioridad, porque convierte «alguien entró» en «alguien entró y llegó hasta aquí».

Ya tienes las cuatro piezas: la dirección, la persona, el equipo y lo que pasó alrededor. Ninguna sola decide; juntas, sí. Decide el cajón con lo que encontraste en la consola, no con el nombre de la regla.