Que la alerta salte sola

Un SIEM recoge los registros de todas las máquinas en un solo sitio y los cruza. Su valor no es guardar: es correlacionar. Un intento fallido de acceso en una máquina es ruido; el mismo intento repetido en veinte máquinas a la vez es un ataque, y solo el SIEM que ve las veinte a la vez lo nota. En Salitre, el SIEM junta los eventos del dominio Windows y del servidor Linux: lo que en cada máquina parecía aislado, junto, cuenta una historia.

Mirar una máquina es ver un píxel; el SIEM ve la imagen. Por eso la detección de verdad no vive en el equipo, vive donde se juntan todos.

Una alerta no nace sola: alguien escribió una regla que dice «si ves esto, avisa». La calidad de la detección es la calidad de sus reglas. En Salitre escribes —o habilitas— una regla que reconoce el patrón de fuerza bruta: muchos intentos de acceso fallidos contra una cuenta en poco tiempo (MITRE ATT&CK T1110). Es exactamente el patrón que dejaste en los registros al atacar: ahora lo conviertes en una alerta que lo caza automáticamente la próxima vez.

Detectar bien no es mirar más: es enseñarle a la máquina qué forma tiene lo que buscas, para que avise ella. La regla es el conocimiento del analista escrito una vez y aplicado siempre.

Una regla que nunca se ha probado no sirve de nada: quizá no salta, o salta con cualquier cosa. Por eso en el laboratorio la alerta la disparas tú — generas la actividad (el mismo barrido de accesos fallidos) y ves si la regla salta cuando debe. En Salitre lanzas el patrón y compruebas que la alerta aparece nombrando lo que pasó. Cruzar lo que hiciste con lo que la alerta dice es el trabajo real de un centro de monitoreo: la actividad prueba que la regla funciona, y la regla prueba que no hace falta mirar en vivo.

Una regla sin probar es una corazonada. Verla saltar con la actividad que tú generaste es lo que la convierte en detección de la que te fías.

El enemigo del que detecta no es la falta de alertas: es el exceso. Una regla que salta con todo entierra la alerta que importa bajo cien que no, y el analista deja de mirarlas — es como no tener detección. El oficio es afinar: una regla que avisa de accesos fallidos debe distinguir a un empleado que teclea mal su contraseña tres veces de un ataque de cientos de intentos. En Salitre ajustas el umbral para que la alerta salte con el ataque y calle con el error humano normal.

Demasiadas alertas es lo mismo que ninguna. La detección buena no es la que avisa más, es la que avisa bien.

Una regla sin verla saltar es una corazonada. Dispara en el laboratorio el patrón de fuerza bruta contra la cuenta atacada y mira la alerta que el SIEM registra con su código.