Plan de ejercicio basado en técnicas

Si el plan solo dice «probar tal técnica», cualquier resultado puede presentarse como éxito: lo que se ve se celebra y lo que no, se explica. Por eso cada fila declara de antemano la fuente de datos donde debería aparecer el rastro, la regla que debería alertar y el criterio de éxito con su plazo. Es la misma idea de una prueba de software con resultado esperado.

Abre plan. En regla_esperada, un guion significa que el catálogo no tiene una regla para esa técnica. No es un error del plan: es un hueco conocido que la prueba va a medir. Anotarlo antes evita sorpresas y evita culpar a una regla que nunca existió.

Una regla solo puede alertar sobre datos que llegan. Cruza plan, columna fuente_esperada, con fuentes_siem, columna estado. Una prueba cuya fuente no llega al SIEM fallará por una causa que ya se conoce, y conviene arreglarla antes o declararla como tal en el plan.

El criterio_de_exito fija un plazo. La mayoría de las pruebas de este plan exige que la alerta llegue al SIEM en un plazo corto de la propia organización; otras piden solo que el evento se vea o conceden un plazo mayor. Contar cuántas comparten el mismo criterio ayuda a dimensionar el trabajo de revisión de la cola durante la ventana.

La técnica sin regla sí se puede probar: el objetivo es medir si al menos queda el evento visible en el SIEM. Por eso su criterio de éxito es distinto al de las demás. Si el plan la tratara igual que a las otras, un resultado «sin alerta» se leería como un fallo de una regla, cuando era un hueco anunciado.