Enriquecimiento de eventos: valor y costo

Un evento crudo dice «la IP 10.40.3.17 visitó un dominio a las 09:40». Enriquecido, dice «el puesto de tesorería de tal persona visitó un dominio que está en la lista de una campaña de facturas falsas, con confianza alta». La segunda versión se triagea en un minuto; la primera obliga al analista a buscar cada dato a mano.

El costo depende de dónde se enriquece. En la ingesta se paga por cada evento que llega, aunque nadie lo mire nunca. Al abrir la alerta se paga solo por lo que un analista revisa, pero el dato es el de ahora, no el del momento del evento.

Ejecuta SELECT * FROM volumen, SELECT * FROM enriquecimientos y SELECT * FROM servicio_externo. La propuesta pone la reputación externa (ENR-2) en la ingesta del correo. Compara los eventos diarios de la pasarela con las consultas incluidas: la cuota se agota antes del mediodía.

Ahora calcula la alternativa: aplicar ENR-2 solo a las alertas que abre el SIEM, una consulta por alerta.

Algunos datos de contexto cambian tan rápido que solo valen si se pegan en el momento del evento. Si se buscan al día siguiente, se obtiene la respuesta correcta a otra pregunta. Lee la columna de_donde_sale de cada enriquecimiento y piensa qué pasaría si el analista lo consultara una semana después del evento.

El contrato dice qué hace el servicio externo al agotar la cuota. Esa respuesta llega al evento como si fuera un dato más, y una regla que alerta sobre «mala reputación» la lee como «nada que reportar». El fallo no se ve: el tablero sigue verde y las alertas bajan, que en cualquier reunión parece una buena noticia.