Huecos de detección como hallazgo

Un hueco de detección tiene siempre una de cuatro causas, y cada una lleva a una recomendación distinta y a un equipo distinto del cliente. Falta de recolección: el evento no existe o no llega, y ninguna regla puede verlo. Falta de regla: el evento llega y nadie ha escrito la detección. Retraso de recolección: existe y dispara, pero tarde para servir de algo. Falta de proceso: la alerta llegó a tiempo y el turno no la trabajó.

Escribir «hay que mejorar la detección» sin decir cuál de las cuatro es deja al cliente comprando lo que le vendan primero.

Abre el laboratorio y lee la tabla huecos.

De los seis huecos del encargo hay uno donde la plataforma funcionó entera: la fuente llegaba, la regla estaba escrita y la alerta se creó dentro de los minutos esperados. Lo que falló fue el criterio con el que ese caso se cerró. Es el hueco que más barato sale de arreglar y el que más molesta leer, porque no se compra: se corrige en el procedimiento del turno.

Un hueco de detección no se califica como un fallo de un sistema expuesto: no hay nada que explotar en él. Se califica por lo que deja pasar sin ruido y por el tiempo que una actividad podría durar sin que nadie la vea. Un hueco en una técnica que cualquiera usaría al principio de una intrusión vale más que uno en una técnica muy particular, aunque la segunda suene más grave.

Cuando el evaluador ordena los huecos por causa suele aparecer el mismo mensaje: una parte se cierra encendiendo o enviando lo que ya existe, sin pedirle al cliente que escriba nada nuevo. Ese es el primer bloque del plan de corrección, porque es barato y porque sin él las reglas que se escriban después no tendrán datos que mirar.