De hallazgo a tarea de ingeniería

Escribir una regla nueva es la respuesta que primero se ocurre y casi nunca la correcta. Si ya existe una regla pero está apagada porque daba demasiado ruido, una regla nueva repetiría el problema: lo que hace falta es afinar la existente para que pueda volver a encenderse con un ruido manejable. Mira hallazgos y su primera fila.

Las causas de los hallazgos son de tipos distintos: reglas, conectores, auditoría y fuentes. Algunas son una sola tarea; otras bloquean el resto. Busca en hallazgos el que tiene como causa una fuente que dejó de llegar al SIEM.

En tareas, la columna tipo describe qué cambio de ingeniería se hará. Distinguir los tipos permite repartir el trabajo entre quienes administran el EDR, quienes administran el directorio y quienes mantienen el catálogo. Une cada tarea con su hallazgo por la columna hallazgo.

Las tareas de impacto alto son las que dejan técnicas completamente ciegas o sin aviso. Sumar sus horas estimadas da el tamaño del primer lote de trabajo y permite decirle a quien planifica cuánto cuesta cerrar lo más grave.

Priorizar es ordenar por impacto y por dependencias. Si restaurar una fuente es condición para que una regla futura pueda funcionar, esa tarea desbloquea a otras. La más cara en horas no siempre va última, ni la más barata va primera.