La canalización, las plataformas y las reglas del gobierno

Una fuente de datos que deja de llegar no genera una alerta: genera ausencia, y la ausencia no se ve en una cola. Es la peor clase de fallo de un SOC, porque todo lo que esa fuente habría detectado ya no se detecta y nadie lo sabe.

Para encontrarla se compara lo que cada fuente debería enviar por hora con lo que envió en la última, y se mira desde cuándo no llega nada. Una caída a la mitad es un aviso; un cero es una fuente muda.

Llegar no es lo mismo que servir. Si un analizador no reconoce el formato de un evento, el evento queda guardado como texto sin campos y ninguna regla puede preguntar por él. El volumen parece sano mientras la detección está ciega.

El porcentaje de eventos analizados correctamente es la señal. Un valor cercano a cien es normal; uno muy por debajo es un analizador roto o un cambio de formato en el origen.

La licencia de una plataforma se mide en gigabytes diarios, y el consumo de cada fuente se suma al de las demás. Cuando el total pasa del plan, o se paga el exceso o se deja de ingerir algo, y la decisión de qué quitar es del gobierno del SOC, no del analista que nota el número.

Suma el consumo medio de todas las fuentes, sin descartar la que hoy está muda: el promedio es de treinta días, no de esta mañana.

Tener muchas vulnerabilidades abiertas obliga a ordenarlas, y el orden no sale solo de cuánto importa el activo. Pesa si es alcanzable desde internet y si la vulnerabilidad ya se explota en la realidad. Un activo de importancia media, expuesto y con explotación conocida, puede pasar delante de uno crítico y encerrado.

Aplica el criterio aprobado por el comité, con sus multiplicadores, a cada fila y compara los puntajes.

Automatizar la respuesta acelera, pero la regla es que una acción que corta el servicio de un activo importante la aprueba una persona. La política se lee contra cada playbook: la acción, el alcance y si pide aprobación.

Un playbook que cumple la política por una acción y la incumple por otra es un problema distinto: se evalúa cada fila por separado, con su alcance.