Notificaciones y paquetes de detección

Un registro como conn.log tiene una fila por cada conexión; hay millones al mes y nadie las lee una a una. Una notificación es una fila que un script decidió elevar porque cumple una condición: una dirección que escanea, un certificado inválido, una coincidencia con la lista de indicadores. Añadirle correo o alarma es una decisión de política.

La diferencia importa porque la cola de un turno se llena con notificaciones, no con registros.

Abre notificaciones_del_mes y suma la columna cantidad_en_el_mes. La política dice que una persona revisa 20 notificaciones por turno como máximo: con esa cuenta se sabe si la cola es abordable o si el turno se está ahogando.

Cuando una notificación se repite con la misma clave, el marco la suprime durante un intervalo para no inundar el registro. suppress_for es ese intervalo en segundos. Con valor 0 la supresión queda desactivada: cada repetición genera una notificación nueva. En una notificación de bajo acierto eso es una avalancha. Compara suppress_for con confirmadas_por_el_soc en la tabla.

Los paquetes se instalan con el gestor de paquetes de Zeek, y vienen de la comunidad o de la propia organización. Un paquete es código que corre dentro del sensor: antes de instalarlo se revisa quién lo mantiene, qué hace y bajo qué licencia se puede usar. La política de la planta fija esa condición. En paquetes_instalados hay uno que no la cumple.

La política manda por correo solo las notificaciones con al menos la mitad confirmadas por el SOC. Dos de las cuatro ya tienen correo; las otras dos solo se anotan. Decide con las cifras de notificaciones_del_mes, no con la intuición.