Entidades, incidentes y correlación

Una alerta es una señal aislada; un incidente es el caso que reúne las alertas relacionadas. Lo que relaciona una alerta con otra son sus entidades: cuentas, equipos, direcciones IP, archivos, buzones. Una regla de Sentinel asigna campos de su consulta a entidades (hasta diez asignaciones) para que la alerta diga a quién y a qué se refiere.

En la agrupación de alertas de una regla, la opción recomendada es unirlas en un incidente cuando todas las entidades asignadas coinciden.

En la consola, alertas trae las ocho alertas de la tarde con su producto, su cuenta, su equipo y el incidente al que quedaron unidas, y incidentes trae los tres incidentes resultantes. Para ubicar una alerta se filtra por lo que ya sabes de ella.

Un compañero pregunta por la alerta del barrido de puertos: la regla de Sentinel que detectó un equipo de bodega abriendo conexiones a muchos destinos.

Las alertas de un incidente pueden venir de productos distintos: correo, identidad, punto final o una regla de Sentinel, y cada una se anota con un código corto de su producto. La primera alerta de un incidente dice por dónde empezó la historia; las demás cuentan cómo avanzó.

La tabla productos explica qué es cada código. Mira el incidente de la cuenta y ordena por hora.

Una regla puede agrupar muchas alertas en un incidente, pero hay un tope: un incidente reúne hasta 150 alertas. Si la regla genera más, se crea un nuevo incidente con los mismos datos del original y las que sobran van allí. Es una de las razones por las que una regla que se descontrola produce incidentes repetidos que hay que cerrar uno a uno.

En la consola, limites trae el tope y regla_con_agrupacion trae lo que una regla produjo en una noche.

Cuando Microsoft Sentinel está incorporado al portal de Microsoft Defender, los incidentes los crea y los correlaciona el motor de Defender. La configuración de agrupación de la regla se toma como una instrucción inicial: se aplica al crear el incidente, pero el motor de Defender también puede decidir otra correlación que no la tenga en cuenta. Por eso la agrupación puede salir distinta de lo que dice la regla.

En este incidente, la regla de Sentinel agrupa por entidades coincidentes, pero Defender también sumó una alerta de MDE al incidente de la cuenta.