Contexto técnico, puntos ciegos y respuesta

La sección de contexto técnico lista la fuente, los campos que la regla lee, cómo se ve el rastro y cuánto tarda en llegar y cuánto se conserva. Es la sección que más se desactualiza, porque las fuentes cambian sin avisar a quien escribió la ficha.

La estrategia de SDN-105 lee el registro de seguridad de los servidores, que registra la creación de cuentas. Abre fuentes_disponibles: dice en cuántos servidores debería existir la fuente y cuántos la entregan de verdad.

Una estrategia escrita sobre el papel puede pedir campos que la fuente no trae. Se descubre mirando un evento real, no leyendo la documentación de memoria. campos_que_exige_la_ficha lista los campos que SDN-105 necesita y dice si la fuente los trae.

Un campo ausente no se arregla con optimismo: o se cambia la estrategia para no depender de él, o se pide otra fuente, o se declara el límite en la ficha.

La sección de puntos ciegos y supuestos lista lo que la estrategia no ve y lo que da por cierto. No es una sección de disculpas: es la lista que permite a otra persona decidir si necesita una segunda regla. Un buen punto ciego se apoya en evidencia que está en las tablas; un buen supuesto dice qué pasaría si fuera falso.

Un punto ciego no es un falso positivo: el falso positivo es una alerta que salta sin que importe; el punto ciego es algo que importa y la regla no ve.

En puntos_ciegos_candidatos hay tres frases propuestas para SDN-105, con la evidencia que las respalda.

Una alerta sin una guía de respuesta pide al turno que improvise. La sección de respuesta de la ficha enumera los pasos que sigue el analista, la consulta guardada que le apoya en cada uno y el plazo máximo. Los pasos se escriben como acciones de lectura y decisión: confirmar, buscar, ver, escalar.

pasos_de_respuesta tiene el runbook de SDN-105. Uno de los pasos consiste en comprobar si la cuenta nueva tenía autorización de cambio.

Los plazos de cada paso no son decorativos: sumados dicen cuánto tiempo puede pasar entre que la alerta salta y que el equipo de Identidad recibe el caso. Si esa cifra no es aceptable para la gravedad de la regla, hay que acortar pasos o automatizar una consulta.