Escenario, el motor de correlación que consumía el clúster

5 tareas · 55 min · Principiante

Escenario del módulo. Lunes 12 de octubre de 2026, Cooperativa Cafetera Alto Chicamocha. Otra organización, otro equipo y otros números: nada de lo que viste en la Aseguradora Brisas del Sinú resuelve esto por sí solo. Eres la persona de ingeniería de detección. El jefe del SOC dice que desde el fin de semana el cabeza de búsqueda de Splunk Enterprise Security va al límite, que hay decenas de búsquedas saltadas y que, extrañamente, llegan menos notables. Antes de la reunión de las once quiere saber qué cambió, qué detecciones están ciegas y qué se le pide al equipo de plataforma. Tienes las búsquedas saltadas por día, el registro de cambios, las ocho búsquedas de correlación, la cobertura de los resúmenes y los criterios del equipo. No hay paso a paso: mide, cruza y decide.

0 de 5 · 0%

Objetivo de la sala

Para decir que algo se disparó hace falta una base. Toma los tres días anteriores al cambio del registro, los que terminan el 9 de octubre.

Responde para continuar

Escribe el promedio de búsquedas saltadas por día en los tres días anteriores al cambio.

Compara las búsquedas por el tiempo de búsqueda que consume cada una por hora: ejecuciones por hora por duración media. Interesa la que más consume.

Responde para continuar

Escribe la regla que consume más segundos de búsqueda por hora.

Los resúmenes de los tres modelos se miden con su primer y último dato resumido frente al momento de la consulta. Uno de ellos lleva dos días y medio sin resumir lo que llega.

Responde para continuar

Escribe el modelo cuyo resumen está atrasado respecto al momento actual.

Una de las detecciones que leen ese modelo usa solo lo resumido, así que no ve nada posterior al último dato resumido. Esa regla generaba notables la semana anterior y ahora ninguno, sin saltarse ninguna ejecución, y por eso nadie la señaló.

Responde para continuar

Escribe la regla que lee solo lo resumido y dejó de generar notables sin saltarse ejecuciones.

Tienes dos fallos con una sola causa. Dos detecciones consultan el modelo atrasado con datos crudos para completar el hueco: tardan más que su intervalo y se saltan. Otra consulta solo lo resumido: corre bien y no ve nada. Además, el cabeza de búsqueda tiene capacidad fija.

Responde para continuar

¿Qué incluyes en la petición que acompaña la conclusión?

Desactivar las detecciones que leen Endpoint Poner al día el resumen de Endpoint con un relleno acotado, vigilar su atraso y revisar las reglas mientras Subir el límite de búsquedas simultáneas del cabeza de búsqueda y esperar a que el volumen de saltadas vuelva a lo normal

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Cómo era antes Lab

2 La que más ocupa Lab

3 El modelo atrasado Lab

4 La regla ciega Lab

5 Lo que le pides al equipo

Whoami-Labs Pro utiliza cookies