Plantillas de caso

Una plantilla de caso define de antemano qué trae un caso de cierto tipo: la gravedad inicial, el TLP y el PAP, las etiquetas y la lista de tareas con su responsable. TheHive la ofrece así: al crear el caso se elige la plantilla y el caso nace con todo eso. Lo que se gana es consistencia: dos analistas distintos hacen lo mismo ante el mismo tipo de incidente y quien audite el caso encuentra los mismos pasos.

La plantilla es un punto de partida: si el caso real se desvía, el analista adapta las tareas y deja escrito el motivo.

CASO-0041 trata de un correo con un enlace que pide un pago a proveedores. Hay que elegir entre las dos plantillas del equipo mirando su nombre, sus tareas y sus etiquetas, no la gravedad que más guste.

Abre la consola. Ejecuta SELECT * FROM plantillas y SELECT * FROM casos.

No todas las tareas las cierra el analista. Pedir un bloqueo cambia el tráfico de la empresa y publicar un evento cambia lo que sabe otra organización, así que ambas piden aprobación de quien responde por ello. La plantilla lo deja escrito en la columna requiere_aprobacion.

Ejecuta SELECT * FROM plantilla_tareas WHERE plantilla = 'Cobro-fraudulento' y cuenta las tareas que piden aprobación.

Ejecuta SELECT * FROM plantilla_tareas WHERE tarea LIKE 'Compartir%'. La tarea de compartir indicadores es la que más riesgo trae para la reputación y los datos de la empresa, por eso no la cierra el analista que preparó el evento.

En CASO-0042 la plantilla de cuenta comprometida trae una tarea de avisar a la persona dueña de la cuenta, pero esa persona está de licencia y no es localizable hasta el lunes. El analista duda entre dejar la tarea abierta sin decir nada o cerrarla como hecha.