Eventos notables y su revisión

Una búsqueda de correlación recorre los datos cada cierto tiempo. Cuando su resultado cumple la condición, una de sus respuestas puede ser crear un evento notable: un registro nuevo, guardado en su propio índice, que apunta a los eventos que lo provocaron y que se muestra en la cola de Incident Review. El notable no sustituye a los eventos de origen: es la tarjeta de alerta que los señala.

Cada notable lleva, entre otros, el nombre de la regla, la severidad (la fija quien escribió la búsqueda), la urgencia (la calcula ES), el estado y el propietario (los cambia el equipo al revisar). En la documentación de ES 8 los notables pasan a llamarse hallazgos (findings) y las búsquedas de correlación, detecciones; el mecanismo es el mismo.

La urgencia no la escribe nadie a mano: sale de cruzar la severidad del notable con la prioridad del activo o de la identidad implicada. La severidad dice cuánto preocupa lo que detecta la regla; la prioridad dice cuánto vale lo que está en juego. Una regla grave sobre un equipo de poco valor no da la misma urgencia que la misma regla sobre un servidor crítico.

Abre la tabla urgencias para ver la matriz por defecto y la tabla notables para ver los diez notables de la tarde. Los valores están en el idioma del producto: informational, low, medium, high y critical.

Cuando el activo y la identidad del notable tienen prioridad, ES usa la más alta de las dos para entrar en la matriz. Si una no está en las tablas, queda como unknown, y una prioridad desconocida hace bajar la urgencia.

Llega un notable nuevo con severidad medium. Su equipo de origen tiene prioridad medium y la cuenta implicada tiene prioridad critical.

En la tabla, NE-6103 y NE-6108 tienen severidad high y solo urgencia medium, mientras que NE-6106 tiene severidad medium y urgencia high. Leer solo la columna severidad pondría la cola en un orden distinto al que ES calcula. La diferencia está en el valor de lo afectado, y por eso conviene mirar prioridad junto a severidad antes de aceptar o discutir un orden.

Al final de la tarde, nadie ha tomado los notables con estado New y sin propietario. Con dos analistas de turno, el criterio razonable es empezar por la urgencia más alta que siga sin dueño, y no por la hora ni por la severidad. El resto se reparte después, de mayor a menor urgencia.