Umbral y coincidencia de indicadores

Una regla de umbral tiene tres piezas. «Group by» separa los eventos en grupos, por ejemplo por dirección de origen. «Threshold» es el mínimo de eventos que cada grupo debe alcanzar por sí solo. «Count» es opcional y añade una restricción de cardinalidad: el grupo solo alerta si, además, tiene al menos cierto número de valores distintos de otro campo.

Esa tercera pieza cambia el significado de la alerta. Doce fallos de una sola cuenta desde un origen son otra historia que doce fallos repartidos entre muchas cuentas.

Abre la consola. regla_caq_04 define el umbral y fallos_por_origen trae lo contado en una ejecución. El umbral es un mínimo: un grupo con exactamente esa cantidad lo alcanza. Para alertar, un grupo debe cumplir el umbral y el conteo de valores distintos.

El conteo de valores distintos descarta un patrón concreto: un origen que acumula fallos con una sola cuenta. Suele ser un servicio con una contraseña vieja o un equipo desatendido, no alguien probando varias cuentas. No es inocente por defecto, pero es otra clase de caso y se atiende por otro camino.

La regla de coincidencia de indicadores compara un campo del evento, aquí la dirección de destino, con un campo del indicador. La consulta del índice de indicadores limita cuáles se cargan: el valor por defecto de Elastic toma los ingestados en los últimos 30 días, con el inicio redondeado al día. La ejecución que se revisa es la del 20 de octubre de 2026.

Un indicador más viejo que esa ventana existe en el índice, pero la regla no lo ve.

El índice conserva todo lo que se ingesta, pero la ventana de la regla decide qué se vigila. Un indicador de confianza media que entró en septiembre y sigue en el índice dejó de proteger sin que nadie lo apagara. Una cobertura que depende de un valor por defecto se revisa tanto como una que depende de una consulta.