Leer alertas y su contexto

La salida estructurada de un sensor registra la alerta y deja un identificador de flujo, flow_id, que une esa alerta con los demás registros del mismo flujo: la consulta de nombres, la sesión cifrada, la transferencia de ficheros. La alerta es el primer renglón de una historia; el resto está en el contexto.

Dos alertas con el mismo mensaje pueden ser una equivocación tolerable y un incidente. Lo que las separa no está en la regla, está en quién es el equipo, qué hizo antes y después y si alguien lo esperaba.

Un escáner de vulnerabilidades genera, por diseño, muchas conexiones fallidas contra muchos recursos, y por eso dispara las reglas de intentos repetidos. Si el inventario lo reconoce y la tarea está autorizada, la alerta se explica; si no, se parece a otra cosa. El inventario es lo primero que se consulta.

Cruza alertas con inventario.

Un envío grande hacia el exterior es lo que una regla de pérdida de datos debe señalar. También es lo que hace una copia de respaldo cada noche hacia un proveedor. Una ventana programada conocida, con el mismo origen, el mismo destino y la misma hora, es una explicación, aunque no una prueba definitiva: se contrasta con el contexto del flujo.

Mira alertas, ventanas_programadas y contexto_del_flujo.

Una alerta de dominio vigilado no trae el dominio, trae el texto del mensaje. El nombre consultado está en el contexto del flujo. Con el dominio, y con la lista de equipos que lo consultaron, se decide si es una molestia de un solo equipo o algo repetido.

Agrupar las alertas por el rol del equipo de origen cambia lo que se ve. Un grupo de alertas de estaciones de usuario pide una conversación con las personas y con el responsable de cada una; un grupo de servidores pide revisar la tarea o el cambio que las produjo.

Cuenta las alertas de alertas cuyo origen es una estación de usuario según inventario.