Agrupación y creación de incidentes

Cuando una regla agrupa alertas, el incidente no se arma con todas las que existan, sino con las que cumplen dos condiciones a la vez. La primera es el criterio de coincidencia: por ejemplo, que coincidan todas las entidades mapeadas. La segunda es la ventana de agrupación: una alerta solo entra en un incidente si llega dentro del plazo contado desde la primera alerta de ese incidente; pasado el plazo, abre uno nuevo.

Lee configuracion y recorre alertas_de_la_regla. Agrupa las alertas por la pareja de cuenta e IP y comprueba, para cada pareja, si todas caben dentro de la ventana contada desde su primera alerta.

Un incidente que sigue recibiendo alertas durante horas acaba siendo un caso largo y difícil de cerrar; por eso la ventana existe. Pero también es la causa de que una misma actividad persistente se parta en dos casos. El detalle es que la ventana cuenta desde la primera alerta del incidente, no desde la última: una actividad que no cesa agota la ventana aunque cada alerta llegue minutos después de la anterior.

Con ese criterio, identifica en la tabla la alerta que no cabe en el incidente que ya estaba abierto para su pareja.

Hay tres criterios para agrupar. Con todas las entidades (el recomendado), las alertas deben coincidir en cada una. Con cualquier alerta de la regla, todas van al mismo incidente. Y con entidades y detalles seleccionados, solo se compara con las que escoges. Este último permite agrupar, por ejemplo, solo por cuenta, de modo que los cambios de dirección IP de una misma persona no abran incidentes nuevos. La ventana sigue contando igual.

Recalcula los incidentes de alertas_de_la_regla si el criterio fuera la cuenta únicamente y la ventana la misma.

Sobre cómo las alertas se forman a partir de los eventos, la regla tiene dos modos: una sola alerta que resume todos los resultados, o una alerta por cada evento. El segundo modo es útil cuando cada fila es un caso independiente, pero tiene tope: la regla no genera más de cierto número de alertas por ejecución. Si la consulta devuelve más resultados, las primeras generan alertas individuales y la última resume el conjunto entero.

Lee ejecucion_de_regla y limites.

Si el espacio de trabajo se incorpora al portal de Defender, ese portal es quien crea los incidentes y su motor de correlación decide cómo se agrupan las alertas, también las de varios productos. Los ajustes de agrupación de la regla siguen existiendo, pero se leen en un momento concreto y no gobiernan después. Además, desaparece la opción de reabrir incidentes cerrados. Para quien mantiene reglas, significa que la agrupación que ve en el asistente puede no ser la que ve el analista.