Tipos de indicador y su vida útil

5 tareas · 40 min · Principiante

Un indicador es un dato observable, como una dirección, un dominio o la huella de un archivo, que alguien asoció a una actividad hostil. No todos duran lo mismo: unos se cambian en minutos y otros cuestan semanas de trabajo a quien los usa. En el Hospital Santa Elvira, un SOC de tres personas, recibes un lote de diez indicadores de tipos distintos y una tabla con la vida útil que el hospital fijó para cada tipo. Aprendes a separar los tipos, a leer su vida útil y a decidir cuáles ya no deberían estar cargados.

0 de 5 · 0%

Objetivo de la sala

Los indicadores se pueden ordenar por lo que le cuesta a quien los usa cambiarlos. Una dirección de red o un dominio se reemplazan en minutos y por poco dinero. La huella de un archivo cambia con tocar un solo byte. Un patrón de comportamiento, en cambio, obliga a cambiar la forma de trabajar. Esa idea, conocida como la «pirámide del dolor», explica por qué los tipos de la base de la pirámide caducan antes: dejan de coincidir con lo que se observa.

La consecuencia práctica es que la vida útil de un indicador no depende de cuándo se publicó, sino de cuánto tarda en cambiar lo que describe.

Responde para continuar

¿Por qué un indicador de comportamiento suele vivir más que uno de dirección de red?

Porque las fuentes que lo publican son más fiables y por eso lo revisan menos veces cada año Porque el SIEM compara los patrones con más rapidez que las direcciones y no los descarta Porque para quien lo usa cambiar de comportamiento cuesta mucho más que cambiar de dirección

Abre la tabla de vida útil del hospital. Cada tipo trae los días que se le da desde la fecha en que se recibe. Son valores de esta organización: otra pondría otros, según cuánto le cuesta una alerta falsa y cuánto un indicador que sigue vivo.

Responde para continuar

Escribe el tipo de indicador al que la tabla da la vida útil por defecto más corta.

Ver pista de ayuda

Consulta `SELECT * FROM vida_util_por_tipo` y busca el menor número de días.

El lote trae diez indicadores. Para cada uno, la fecha de caducidad es la fecha en que se recibió más la vida útil de su tipo. Está caducado si esa fecha es anterior al corte, el 12 de octubre de 2026. Cruza las dos tablas y cuenta.

Responde para continuar

Escribe cuántos indicadores del lote están caducados al corte.

Ver pista de ayuda

Para cada fila, suma a `fecha_recibido` los días de `vida_util_por_tipo` y compara con el corte.

El patrón de comportamiento es el tipo con más vida útil, pero no basta con el tipo: hay que ubicar cuál es el indicador concreto del lote.

Responde para continuar

Escribe el identificador del indicador del lote cuyo tipo tiene la vida útil por defecto más larga.

Ver pista de ayuda

Une `lote_recibido` con `vida_util_por_tipo` por la columna `tipo`.

Cinco de los diez indicadores están fuera de su vida útil. Siguen cargados en la lista y nadie los ha tocado. No significa que fueran falsos: significa que dejaron de ser una apuesta razonable sobre lo que se ve hoy.

Responde para continuar

¿Qué haces con un indicador caducado que sigue cargado en la lista de vigilancia?

Borrarlo del sistema por completo, junto con todo el historial de dónde vino y qué alertas dio Dejarlo hasta que genere una alerta falsa, porque entonces se sabrá con certeza que ya no sirve Retirarlo de la coincidencia activa con acta, y conservar el registro de su origen

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Qué hace que un tipo dure más

2 La vida útil más corta Lab

3 Cuántos están caducados Lab

4 El que más dura Lab

5 Qué hacer con los caducados

Whoami-Labs Pro utiliza cookies