Cuatro formas de correlacionar

Un evento suelto casi nunca dice nada: un fallo de inicio de sesión lo produce cualquiera que se equivoca de contraseña. Correlacionar es combinar varios eventos, de uno o de varios orígenes, para afirmar algo que ninguno afirma por separado. Hay cuatro maneras básicas y casi toda regla es una de ellas o una mezcla:

• Umbral por ventana: contar eventos parecidos en un intervalo («diez fallos en cinco minutos»).
• Secuencia: exigir un orden («fallos y después un éxito»).
• Agregación por entidad: agrupar por cuenta, equipo o servicio y medir algo de la entidad, como cuántos equipos distintos tocó.
• Unión de fuentes: cruzar dos fuentes por una clave («cuentas dadas de baja que inician sesión»).

Abre la tabla hipotesis de Andamar. Cada fila dice qué fuentes lee, si el orden de los eventos importa y por qué entidad se agrupa. Una unión de fuentes se nota enseguida: la hipótesis necesita datos que ninguna fuente tiene entera.

En la mayoría de las reglas de conteo da igual qué evento llegó primero. En una secuencia el orden es la regla: «fallos y después un éxito» es una cosa y «un éxito y después fallos» es otra, aunque tengan los mismos eventos. Las secuencias necesitan además una clave que ate los eventos (misma cuenta, mismo origen) y un tiempo máximo entre ellos.

La tabla accesos_hora tiene los inicios de sesión en servidores de una hora. Contar eventos por cuenta engaña: una cuenta que entra doce veces al mismo servidor de facturación es rutina. Lo que sale de lo habitual suele ser la variedad: cuántos equipos distintos toca una cuenta. Para eso se agrupa por entidad y se cuentan valores distintos con dcount.

Agrupar es decidir qué es «la misma cosa». Si agrupas los fallos de inicio de sesión por origen, quien reparte intentos entre muchos orígenes no suma nunca lo bastante en ninguno; si agrupas por cuenta, esos intentos se juntan. La clave no es un detalle: cambia lo que la regla puede ver.