Cuando la automatización falla

El bucle pasa cuando la salida de un playbook cumple la condición que lo dispara. Un playbook que crea un caso cuando hay una alerta de severidad alta, y cuyo caso nuevo hace saltar otra alerta de severidad alta, dispara otro caso con cada uno que crea, y la cadena no termina hasta que alguien la corta o se agota algo. No hace falta ninguna maldad: basta que dos reglas, escritas por dos personas, se miren sin saberlo.

El cierre equivocado pasa cuando un playbook cierra alertas por una condición demasiado ancha. No hace ruido: la alerta desaparece de la cola, y nadie la vuelve a mirar. Es el más peligroso de los dos precisamente porque es silencioso. Las defensas son distintas: contra el bucle se pone un límite de ejecuciones por ventana de tiempo, que corta y avisa; contra el cierre se acota la condición y se revisa a mano una muestra de lo que se cerró solo.

El registro de la madrugada cuenta cuántas veces corrió cada playbook y, aparte, los primeros eventos de una cadena en orden de hora. Un bucle se ve en la cadena como una alternancia: algo que el playbook produce, algo que salta en consecuencia, el playbook otra vez. Y se ve en el conteo como una cifra que no tiene nada que ver con las demás.

Abre ejecuciones_por_playbook y cadena_de_eventos.

PB-03 cierra, sin preguntar a nadie, las alertas de barrido de puertos cuyo origen está en la lista de permitidos: se supone que es el escáner de vulnerabilidades autorizado haciendo su trabajo. La lista tiene una entrada que cubre toda la red de gestión, un /24, no la dirección del escáner. Ese /24 incluye todo lo que viva ahí hoy, y el inventario de gestión dice qué hay.

Cruza lista_de_permitidos, inventario_de_gestion y alertas_cerradas_por_pb03: de las tres alertas cerradas como escaneo autorizado, una no venía del escáner.

Con la alerta encontrada y la evidencia posterior (evidencia_posterior: a las 04:30 ese puesto intentaba abrir recursos compartidos de once equipos), la discusión del lunes es qué hacer con PB-03. Algunos quieren apagarlo; otros dejarlo como está porque «la regla cerró bien las otras dos». Ninguna de las dos posturas mira lo que falló: una condición demasiado ancha y nadie mirando lo que se cierra solo.