Iniciar sesión

Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

Los números del turno

5 tareas · 45 min · Principiante

21:20. La contención terminó a las 18:48 y el caso quedó con la guardia de incidentes. Te quedan cuarenta minutos y lo último del turno no es cerrar alertas: es dejar escrito qué pasó aquí esta tarde, con números, para que el equipo de detección sepa qué arreglar y el informe semanal diga algo. Tienes el cierre de la cola con el cajón de cada alerta, el desglose por motivo, el caso y las medidas del turno. Esta sala mide el turno, incluido lo que el turno hizo mal.

0 de 5 · 0%

Objetivo de la sala

El recuento de falsos positivos es lo que el equipo de detección mira mañana para decidir qué reglas toca, así que tiene que ser exacto y no puede incluir lo que la regla acertó. Salen de tres motivos distintos y de cinco reglas distintas, así que ninguna columna de la cola te lo da sola.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe cuántas de las cuarenta alertas del turno quedaron en el cajón de falso positivo.

Ver pista de ayuda

El cierre de la cola trae el cajón de cada alerta; también puedes sumar el desglose por motivo, que separa los tres avisos y cambios que los explican.

La medida que de verdad dice cómo fue la tarde no está en el panel: es el tiempo entre que el incidente empezó a verse y el momento en que alguien lo reconoció. El caso se abrió a las 18:19, eso lo sabes. Lo otro hay que buscarlo: de las cuatro alertas que el caso agrupa, la primera marca el punto desde el que se cuenta.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe la hora de llegada de la primera de las cuatro alertas que el caso del turno agrupa.

Formato esperado: __:__

Ver pista de ayuda

El caso enlaza sus cuatro alertas por identificador; busca esas cuatro en el cierre de la cola y quédate con la que llegó antes. No es ninguna de las dos de la cuenta de facturación.

Entre esa hora y la apertura del caso pasaron tres horas y veintisiete minutos, y en ese rato salieron mil cuatrocientos doce correos. Toca escribirlo en el informe del turno. La forma de escribirlo cambia lo que se hace después.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cómo dejas esa cifra en el informe del turno?

Redondeada a «unas horas», que describe lo mismo sin poner un número exacto a una tarde en la que hubo cuarenta alertas y una sola analista en el turno para mirarlas todas una a una Escrita tal cual, con la hora de la primera alerta y la de la apertura del caso, y al lado por qué se tardó: cuatro alertas de prioridad baja en tres reglas distintas que nada cruzaba entre sí Fuera del informe mientras la guardia de incidentes no termine de revisar el caso, porque una cifra que todavía puede cambiar de aquí a mañana hace más daño que bien en un informe que leen el responsable del área y la gerencia

Ver pista de ayuda

El informe del turno existe para que mañana se tarde menos, no para repartir culpas. Una cifra sin su causa al lado no se puede arreglar, y una cifra que no está no la arregla nadie.

Un turno que solo cierra alertas deja el mismo trabajo para mañana. Esta tarde hubo dos cosas que la empresa no vio y una que vio de más: los mil cuatrocientos doce correos no levantaron nada, la salida nueva de la VPN sigue produciendo viajes imposibles y un boletín contratado sigue dando alertas aunque tenga aviso. Las tres se arreglan en el SIEM, no en el turno.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué le pides al equipo de detección?

Que suba la severidad de la regla del dominio recién registrado a alta, para que no se vuelva a perder una entre las demás Que apague la regla del dominio recién registrado y la del viaje imposible, que entre las dos dieron ocho falsos positivos esta tarde y ni un acierto Que la regla de envío masivo mire también el correo interno, un aviso para la salida nueva de la VPN y revisar por qué el boletín contratado sigue alertando con aviso vigente

Ver pista de ayuda

Subir la severidad de una regla que se equivoca casi siempre no separa nada, y apagarla deja de ver justo lo que hoy sí cazó. Lo que faltó esta tarde no fue ruido: fue una fuente que nadie vigilaba.

22:00. El turno de noche llega en diez minutos y mañana a primera hora hay un despliegue en el portal de facturación. Decide qué entregas.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué le entregas al turno de noche?

El recuento de las cuarenta alertas por cajón y nada más, porque la contención ya está hecha y lo demás lo lleva la guardia de incidentes desde las 18:30 El caso con lo contenido y lo que falta, las veintitrés personas por avisar una a una y el despliegue del portal de madrugada El caso y el recuento, dejando lo de avisar a las veintitrés personas para el turno de mañana, que es cuando esas personas están trabajando y lo van a leer

Ver pista de ayuda

Un traspaso empieza por lo que no está terminado y por lo que va a pasar durante el turno que empieza. Y una persona a la que nadie avisa puede volver a la página esta misma noche desde su casa.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Herramienta de casos · Delta Cargo — cierre del turno de tarde, 22:00

OpenSearch · consultas guardadas

Tablas

cierre

id
llegada
regla
cajon
motivo

cajones

cajon
motivo
alertas

casos

caso
abierto
alertas
estado
resumen

metricas

medida
valor

pendientes_turno

pendiente
para_quien
cuando

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 El número que lee el equipo de detección Lab

2 Desde cuándo se cuenta Lab

3 Lo que dicen esas tres horas y media Lab

4 Lo que le pides al equipo de detección Lab

5 Lo que entregas Lab

Whoami-Labs Pro utiliza cookies