Enrutar y filtrar

5 tareas · 40 min · Principiante

Con una tubería se puede decidir qué evento va a dónde: al SIEM, donde cada gigabyte se paga y se busca rápido; a un almacén barato, donde se guarda para investigar después; o a ninguna parte. Es la palanca de costo más poderosa y la más peligrosa: una regla de filtro mal pensada deja ciega a una detección sin hacer ruido. En Textiles Quebrada Dorada lees una lista de reglas ordenadas, sigues eventos de muestra y cruzas lo que se desvía con lo que las detecciones leen.

0 de 5 · 0%

Objetivo de la sala

Hay tres destinos para un evento: el SIEM, un almacén frío o el descarte. Enviar al almacén frío no pierde el evento: queda guardado, barato y consultable con más lentitud. Descartar lo pierde para siempre. Por eso la pregunta antes de tocar una regla no es «¿cuánto ahorra?», sino «¿qué detección o qué investigación lo necesita?».

Responde para continuar

¿Qué debe cumplirse antes de aprobar una regla que descarta un tipo de evento?

Que ninguna detección ni obligación de conservación lea ese tipo, según el catálogo vigente Que el tipo de evento sea el que más volumen aporta, porque ahí está el mayor ahorro Que el fabricante de la fuente haya declarado el tipo de evento como poco útil en su documentación

Las reglas de enrutamiento se evalúan en orden y el evento sigue la primera que coincide. Una regla general al principio tapa a las específicas que vienen después. Abre reglas_de_ruteo y muestra y sigue el evento E-04 regla por regla desde la primera, parando en la primera coincidencia.

Responde para continuar

Escribe el destino al que va el evento E-04.

Ver pista de ayuda

Compara la fuente, la acción y el tipo de E-04 con la condición de cada regla, en orden.

La regla 3 manda al almacén frío todo el tráfico permitido del cortafuegos: es el grueso del volumen, y por eso es tentadora. Consulta detecciones y busca la que lee justo esos eventos. Una detección del SIEM no consulta el almacén frío: si el evento no llega, no puede ver nada.

Responde para continuar

Escribe el identificador de la detección que dejaría de ver sus eventos por la regla 3.

Ver pista de ayuda

Busca la detección cuya condición coincide con la de la regla 3.

De las tres reglas que alivian el SIEM (1, 3 y 4), una la lee una detección. Las otras dos pueden aplicarse sin dejar ciega a ninguna. Con la tabla volumen_por_regla, el ahorro bruto diario de esas dos reglas es la suma de sus gigabytes multiplicada por la tarifa. Es un ahorro bruto: no descuenta lo que cuesta el almacén frío.

Responde para continuar

Escribe cuántos dólares al día se ahorran con las dos reglas que ninguna detección lee.

Ver pista de ayuda

Suma los gigabytes de las reglas que ninguna detección necesita y multiplica por la tarifa.

El tercer camino es medio: no descartar todo el tráfico permitido, sino filtrar por una condición que la detección no use, o reducirlo con muestreo y conservar el evento original en el almacén frío. Cualquier cambio de este tipo debe pasar por una revisión que cruce reglas y detecciones.

Responde para continuar

¿Quién debe aprobar un nuevo filtro de volumen en la tubería?

Cada equipo dueño de una fuente, porque cada uno conoce los eventos que genera Quien administra el SIEM, que es quien ve la factura y conoce el volumen de cada fuente Operaciones y seguridad juntas, con el catálogo de detecciones a la vista de todos

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Descartar no es lo mismo que enviar a otro sitio

2 El orden de las reglas Lab

3 La detección que se queda sin eventos Lab

4 Cuánto se ahorra sin dejar a nadie ciego Lab

5 Cómo se decide en la práctica

Whoami-Labs Pro utiliza cookies