Escenario — diez alertas de Curtiembres de Lorica, un caso

Entre las diez alertas, varias nombran a la misma persona, y esa misma cuenta es el hilo que conecta un inicio de sesión inusual con un programa de oficina que lanzó un proceso y con una regla de reenvío en el buzón.

Una alerta pertenece al caso si comparte con las demás la cuenta, el equipo de esa cuenta o el dominio del remitente. Las que no tocan ninguna de las tres entidades son otra cosa: ruido de otra parte de la red o un trabajo de mantenimiento.

De los observables que salen del caso, uno de los trabajos de enriquecimiento no terminó. Ese valor sigue sin informe y no se puede decir nada de él por esa vía.

El borrador de evento copió los cinco observables del caso, incluidos los dos que son activos de la empresa. Uno de ellos es una dirección IP de un equipo de la red interna.

Con el caso armado, falta decidir qué se comparte y qué se hace con lo pendiente: el dominio del remitente y una dirección de origen de inicio de sesión sí se enriquecieron; la dirección de la conexión periódica no; y hay dos activos propios en el borrador.