Iniciar sesión

Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

Ventanas y umbrales

5 tareas · 40 min · Principiante

La regla de Andamar dice «8 fallos de una cuenta en 5 minutos». Anoche una cuenta sufrió una ráfaga de fallos y la regla no saltó. No estaba rota: estaba mal medida. Aquí lees los mismos fallos con dos tipos de ventana, ves por qué uno los parte en dos y el otro no, y cuentas cuántas alertas produce cada uno. Todo es lectura de tablas de ejemplo.

0 de 5 · 0%

Objetivo de la sala

Una condición «N eventos en T minutos» se evalúa con una de dos ventanas. El tramo fijo divide el tiempo en cajas que no se solapan (10:00 a 10:05, 10:05 a 10:10) y cuenta cada caja por separado; en SPL es bin _time span=5m seguido de stats count. La ventana deslizante mira, para cada evento, los T minutos anteriores; en SPL se obtiene con streamstats time_window=5m, que exige los eventos ordenados por tiempo.

El tramo fijo es barato y fácil de explicar. Tiene un defecto: una ráfaga que cruza el borde de una caja se reparte entre dos y ninguna llega al umbral.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué diferencia hay entre un tramo fijo y una ventana deslizante?

El tramo fijo cuenta en cajas que no se solapan; la deslizante cuenta los minutos previos de cada evento La deslizante solo funciona con fuentes de tiempo real y el tramo fijo solo con datos históricos de más de un día El tramo fijo usa la hora del evento y la deslizante usa la hora a la que el evento llegó al SIEM

Abre el escenario. La tabla fallos tiene los fallos de inicio de sesión de una cuenta, ecardona, desde un único origen. La consulta por_tramo_fijo los agrupa en cajas de cinco minutos. El umbral de la regla es 8.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el mayor número de fallos que cae en un solo tramo fijo de 5 minutos.

Ver pista de ayuda

Ejecuta la consulta del tramo fijo y busca el valor más alto de la columna fallos.

Ahora la tercera consulta: para cada fallo, cuántos hubo en los cinco minutos anteriores, él incluido. La ráfaga que el tramo fijo repartió se ve entera.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el máximo de fallos que alcanza la ventana deslizante de 5 minutos.

Ver pista de ayuda

Mira el valor más alto de fallos_en_los_5_min_previos.

Con el mismo umbral, el tramo fijo se queda corto y calla; la deslizante lo supera y avisa. La ráfaga no cambió: cambió el modo de medirla. Cuando una regla de umbral parece no funcionar, antes de bajar el número hay que mirar la ventana.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

La regla con tramo fijo no saltó ante una ráfaga de fallos seguidos. ¿Cuál es la causa y la corrección?

La ráfaga quedó repartida entre dos tramos; hay que pasar a ventana deslizante o solapar los tramos El umbral de 8 es demasiado alto: bajarlo a 4 resuelve el problema sin tocar nada más de la regla La cuenta estaba en una lista de excepciones, así que el SIEM descartó los eventos antes de contarlos

La ventana deslizante evalúa en cada evento. Todo evento cuya cuenta de los cinco minutos previos iguale o supere el umbral genera una alerta, y en una ráfaga eso son varias alertas del mismo incidente. Por eso las reglas de ventana deslizante llevan supresión: una alerta por entidad y por periodo.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe cuántas alertas genera la ventana deslizante de la ráfaga con umbral 8, sin supresión.

Ver pista de ayuda

Cuenta los fallos cuyo valor en la tercera consulta es 8 o más.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

SIEM · Distribuidora Andamar — fallos de inicio de sesión de ecardona

SPL · consultas previstas · datos ficticios, no se ejecuta nada

Índices y lookups

fallos

hora
cuenta
origen

por_tramo_fijo

tramo
fallos

ventana_deslizante

hora
fallos_en_los_5_min_previos

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Tramo fijo y ventana deslizante Lab

2 Contar por tramos de cinco minutos Lab

3 Contar con la ventana deslizante Lab

4 Qué pasó anoche Lab

5 Una alerta por evento no sirve Lab

Whoami-Labs Pro utiliza cookies