Visto, alertado, bloqueado — los niveles

Un control que bloquea protege en el momento, pero si no deja una alerta, nadie en el SOC se entera de que alguien lo intentó. Quien probó pudo repetir la acción por otra vía sin que nadie lo note. Por eso el bloqueo y la alerta se miden por separado, y un bloqueo sin alerta es un hallazgo, no un éxito completo.

Abre niveles para repasar las definiciones y luego tiempos. La columna accion_del_control dice si un control hizo algo además de registrar. Un valor distinto de «ninguna» indica que el control intervino.

El tiempo de alerta es la diferencia entre la hora de ejecución y la hora de la alerta. Es el número que se compara con el criterio del plan: si pedía alerta en un plazo, hay que medirlo aquí y no a ojo. Calcúlalo para la primera prueba, en minutos.

El retraso de ingesta es otro reloj: lo que tarda el evento en estar disponible para buscarlo. Parte de la demora total de una alerta puede venir de la ingesta y no de la regla. Calcula, en segundos, cuánto tardó el evento de la primera prueba en llegar al SIEM.

En la última fila de tiempos no hay hora de evento en el SIEM, ni de alerta, ni acción del control. Ese silencio tiene una lectura limitada: el SIEM no recibió nada, pero no dice si el equipo lo registró localmente ni por qué no llegó. La conclusión hay que redactarla con lo que se sabe.