Emulación en un banco aislado

Una prueba en un banco aislado es una acción pequeña, acordada de antemano, hecha en equipos que no tocan la red de la organización, dentro de una ventana y con un acta de quien autoriza. Se hace para comprobar que la cadena entera funciona: que el equipo escribe el evento, que el agente lo envía, que el SIEM lo recibe y que la regla lo lee. El material de estudio no es la acción, sino lo que deja: el plan (qué se hizo, dónde, a qué hora y qué evento debe quedar escrito) y los eventos recibidos y alertas reales.

Cada prueba del plan lleva un «evento esperado». Se escribe antes y es lo que se contrasta: si en la columna de lo recibido no está, el problema es de la fuente; si está y la regla calla, el problema es de la regla o de su alcance; si salta, se mide cuánto tardó.

Abre el panel. La tabla plan_de_prueba dice qué evento debía quedar escrito en cada prueba y eventos_recibidos lo que el SIEM recibió. Una prueba cuyo evento esperado no está entre lo recibido no dice nada de la regla: la regla no tuvo nada que leer.

El caso inverso es otro problema. El evento llegó pero la regla no saltó: hay que mirar a qué equipos aplica. Cruza alertas_del_banco con el plan para ver qué prueba tiene su evento en el SIEM y ninguna alerta de su regla.

Una alerta que salta tarde puede valer menos que una que no salta, según lo que protege. El plan trae la hora de la acción y la tabla de alertas, la de la alerta. El retraso total incluye lo que tarda el equipo en escribir, el agente en enviar, el SIEM en indexar y la regla en ejecutarse.

Antes de tocar una regla, se lee la tabla reglas_en_prueba y el inventario del banco: cada regla aplica a un tipo de equipo. Si una prueba se hizo en un equipo al que la regla no aplica, la prueba estuvo mal planteada, no la regla.