Excepciones y listas de valores

5 tareas · 38 min · Principiante

Una excepción le dice a una regla que no alerte cuando el evento cumple ciertas condiciones. Es la herramienta más usada para bajar el ruido y la que más silencios produce cuando se escribe sin cuidado: no deja rastro en la alerta, porque la alerta que no sale no existe. En la Cervecería Alto Quindío hay cuatro excepciones y tres listas de valores. Aquí aprendes cómo se componen, qué admiten las listas y calculas qué esconde cada una.

0 de 5 · 0%

Objetivo de la sala

Elastic Security tiene dos formas de excepción. La de regla individual vale solo para esa regla y se gestiona desde ella. La lista compartida de excepciones agrupa varias y se asocia a muchas reglas a la vez. Dentro de cada excepción, las condiciones usan operadores como is, is one of, exists, matches (con comodines ? y *) e is in list, y varias condiciones se unen con AND u OR.

La diferencia práctica es el alcance. Un cambio en una excepción individual toca una regla; un cambio en una lista compartida toca todas las que la usan.

Responde para continuar

¿Qué diferencia práctica hay entre añadir una condición a una excepción de regla y añadirla a una lista compartida?

La condición de una lista compartida solo se aplica a la primera de las reglas que la tienen asociada La condición de una excepción de regla se comparte con las demás reglas del mismo tipo de forma automática La de una lista compartida se aplica a todas las reglas que la tienen asociada, y la de regla solo a esa Las condiciones de una lista compartida no admiten comodines, y las de una excepción de regla sí los admiten

Una lista de valores guarda varios valores del mismo tipo y se usa con los operadores is in list e is not in list. La interfaz ofrece cuatro tipos: palabras clave, direcciones IP, rangos de IP y texto. Los valores se suben desde un archivo de texto o csv y todos deben ser del mismo tipo.

La lista ips-de-monitoreo aún no tiene tipo elegido. Mira qué trae.

Responde para continuar

Escribe el tipo de lista que corresponde al contenido de ips-de-monitoreo, tal como lo llama la tabla de tipos.

Ver pista de ayuda

Ejecuta `SELECT * FROM listas_caq` y `SELECT * FROM tipos_de_lista`; compara el contenido con el ejemplo de cada tipo.

Los valores de una lista son literales: no admiten comodines. Quien quiere cubrir «todos los equipos de la serie 04» no puede escribir un patrón en el archivo: o enumera los equipos, o usa en la excepción el operador matches, que sí entiende comodines pero no es una lista.

La cervecería prepara el archivo de equipos del inventario.

Responde para continuar

Escribe la línea del borrador que no sirve como valor de una lista.

Una excepción se evalúa contra el evento. Si las condiciones de una misma excepción están unidas con AND, el evento debe cumplir todas para quedar fuera. Hay un caso particular en las reglas de secuencia: la excepción se compara con cada evento de la secuencia, y si coincide con uno necesario para completarla, no se crea alerta.

Aquí se evalúa la excepción EXC-01, que une dos condiciones con AND, sobre diez eventos que la regla CAQ-02 habría convertido en alerta.

Responde para continuar

¿Cuántas de las diez alertas dejaría de generar la excepción EXC-01?

Ver pista de ayuda

Ejecuta `SELECT * FROM excepciones_caq` y `SELECT * FROM alertas_de_caq_02`; cuenta los eventos que cumplen las dos condiciones.

Una excepción es buena cuando es estrecha. Se mide por lo que esconde: una condición que todos los eventos cumplen convierte la regla en una regla que no alerta. Un patrón de comodín sobre un campo que todos los equipos de la empresa comparten es el ejemplo clásico, y suele nacer de una prueba que nadie recordó retirar.

Las cuatro excepciones se leen una por una, con lo que cada una esconde en la regla a la que se aplica.

Responde para continuar

Escribe el código de la excepción cuya condición cumplen todos los equipos de la cervecería.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 De una regla o de muchas

2 Elegir el tipo de lista Lab

3 Lo que una lista no admite Lab

4 Qué alertas desaparecen Lab

5 La que lo oculta todo Lab

Whoami-Labs Pro utiliza cookies