Triaje, el veredicto de tres cajones

Falso positivo, benigno e incidente no son grados de lo mismo: son tres cosas distintas. El falso positivo es un problema de la regla —saltó sin que ocurriera lo que vigila—. El benigno es actividad real y legítima —ocurrió, y está bien que ocurriera—. El incidente es actividad real e ilegítima. Confundir «benigno» con «falso positivo» parece inocuo, pero no lo es: si marcas como falso positivo algo que sí ocurrió, estás diciendo que la regla falla cuando en realidad funcionó, y alguien la debilitará.

La consecuencia de cada cajón es distinta. El falso positivo se documenta para afinar la regla; el benigno se cierra sin tocar la regla; el incidente se escala. Meter una cosa en el cajón de otra rompe una de esas tres respuestas.

El SIEM de Delta Cargo marca «transferencia grande de datos hacia el exterior» desde el servidor srv-app02. Al mirar, la transferencia es la copia de seguridad nocturna que ese servidor hace cada día a las 01:00 hacia el destino de respaldo contratado, con el mismo volumen y el mismo destino que las noches anteriores. La regla saltó por el tamaño, pero no hubo salida indebida de datos: es la tarea de respaldo de siempre.

Ese es el patrón de un falso positivo por regla demasiado amplia: el hecho que la regla teme no ocurrió, solo se le parece en una métrica. Se cierra y se anota que la regla debería excluir la ventana y el destino del respaldo conocido.

Otra alerta: lgomez, del área de finanzas, se conecta un domingo a las 22:00, fuera de su horario. La regla «acceso fuera de horario» saltó, y esta vez el acceso sí ocurrió: no es falso positivo. Pero al revisar, lgomez entró desde su equipo habitual, con su segundo factor, y hay un correo de su jefe pidiéndole cerrar el reporte trimestral ese fin de semana. Ocurrió de verdad, y era legítimo. Es benigno.

La diferencia con el incidente está en el contexto, no en el evento: el mismo acceso fuera de horario, desde un equipo desconocido y sin ninguna justificación, iría al tercer cajón. Aquí el equipo habitual, el segundo factor y el encargo del jefe sostienen que es actividad normal fuera de hora.

Tercera alerta: la cuenta svc-backup —una cuenta de servicio, sin persona detrás— inicia una sesión interactiva a las 03:20 desde una dirección de fuera de la red, y a los pocos minutos consulta el directorio de recursos compartidos. Una cuenta de servicio no abre sesiones interactivas ni navega carpetas: hace su tarea automática y nada más. El acceso ocurrió, y no hay contexto legítimo que lo explique. Es un incidente, y de los que se escalan sin esperar.

Lo que lo separa del caso de lgomez no es la hora: es que aquí ninguna pieza del contexto sostiene la actividad. Cuenta que no debería iniciar sesión, origen externo, comportamiento ajeno a su función. Tres señales que se refuerzan en vez de explicarse.

Un triaje sin la razón escrita es media tarea. «Incidente» a secas obliga al nivel 2 a rehacer todo el análisis; «incidente: cuenta de servicio con sesión interactiva externa a las 03:20, sin justificación, navegó recursos compartidos» le da el hilo para empezar. La regla del oficio es que el cajón y la evidencia que lo sostiene viajan juntos, siempre. El veredicto es la conclusión; la razón es lo que la hace útil para quien sigue.

Escribir la razón también te protege a ti: si mañana ese incidente resulta ser otra cosa, tu nota dice qué viste y por qué decidiste así con la información que tenías. El triaje se juzga por el criterio, no por acertar el futuro.

De las tres alertas de la cola, una sola va al cajón de incidente: la de la cuenta de servicio con sesión interactiva externa, sin contexto que la explique. Aíslala en la consola; la que escalas trae un código en su nota, y las otras dos no.