Líneas base de comunicación

4 tareas · 40 min · Principiante

Una detección sobre flujos casi nunca dice «esto es malo»; dice «esto no es lo de siempre». Para eso hace falta saber qué es lo de siempre: qué grupos de equipos hablan entre sí, por qué puertos, a qué horas y con qué volumen. En Textiles Albamar lees veintiocho días de comunicación resumidos por pares de grupos, comparas un martes contra ellos y aprendes dónde una línea base engaña si no cubre el ciclo del negocio.

0 de 4 · 0%

Objetivo de la sala

Una línea base de comunicación no es un promedio de bytes. Es una descripción de los pares de grupos que se hablan (origen, destino, puerto, protocolo), cuántos días del período aparecen, qué volumen mueven en un día normal y a qué horas. Se construye por grupos y no por equipos sueltos, porque los equipos cambian de dirección y los grupos describen una función. Con ella, una detección puede preguntar por un par nuevo, por un volumen fuera de rango o por una hora que no corresponde.

Responde para continuar

¿Qué incluye una línea base de comunicación útil para detectar?

Los pares de grupos que se hablan, por qué puerto, cuántos días, con qué volumen y a qué horas El promedio de bytes de toda la red en el mes, que permite ver cualquier cambio de volumen La lista de los equipos más ruidosos de la semana, que son siempre los más sospechosos de la red interna

Abre linea_base y hoy. Un par de grupos que aparece hoy y que no está en los veintiocho días anteriores es la señal más simple y más barata de producir. No dice que haya un ataque: dice que alguien debe preguntar por qué ocurrió.

Compara los pares de hoy con los de linea_base y mira el puerto del que no tiene antecedentes.

Responde para continuar

Escribe el puerto del par de grupos que aparece hoy y no está en la línea base.

Ver pista de ayuda

Cruza el origen, el destino y el puerto de cada fila de `hoy` con las de `linea_base`; una no tiene correspondencia.

El percentil 95 (p95_mb_dia) marca el valor que no supera el 95 % de los días de la ventana. Dividir lo observado entre ese valor da una medida sin unidades: cuántas veces lo habitual. Es mejor para ordenar alertas que comparar megabytes sueltos, porque un día de 2 000 MB es normal para un par y una catástrofe para otro.

Responde para continuar

Escribe cuántas veces es mayor lo transferido hoy de servidores a respaldo que su p95 de la línea base.

Ver pista de ayuda

Divide `mb_hoy` de esa fila de `hoy` entre `p95_mb_dia` de la fila equivalente de `linea_base`.

Consulta calendario y ventana. El volumen de hoy supera mucho el p95, pero hay una copia completa programada para ese día, y la ventana de 28 días no incluye ninguna de las anteriores. Una línea base solo conoce lo que vio. Si el ciclo del negocio es más largo que la ventana (cierres, copias trimestrales, campañas), la alerta saldrá cada vez en la misma fecha hasta que el ciclo entre en la línea base o se anote como excepción con su fecha.

Responde para continuar

¿Cómo se interpreta el volumen de hoy hacia el respaldo?

Como una exfiltración confirmada, porque supera varias veces el valor de referencia que se calculó para ese par Como un error del exportador, porque ningún par de grupos puede superar su p95 en el mismo mes Como un exceso que explica el calendario y que muestra que la ventana no cubre el ciclo

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Qué es una línea base de comunicación

2 Un par que no existía Lab

3 Cuánto se sale de lo normal Lab

4 Cuando la línea base no alcanza

Whoami-Labs Pro utiliza cookies