Alertas de seguridad leídas

La severidad de una alerta indica cuánta confianza tiene el producto en que la actividad es maliciosa y cuánto daño podría hacer; no confirma un incidente. Una alerta baja puede ser el único rastro visible de algo grave, y una alta puede ser una falsa alarma. La táctica indica en qué fase de un ataque encajaría la actividad, según un marco público, y sirve para ordenar la lectura, no para dar por probada la fase.

El orden de trabajo es el contrario de reaccionar al color: se leen todas, se agrupan por recurso y se contrasta cada una con el registro de actividad.

Una alerta descartada deja de aparecer en las listas activas, pero su historial sigue ahí. Las alertas cerradas sin motivo útil son un riesgo por sí solas: cuando se investiga, hay que saber quién las cerró, cuándo y por qué, y comprobar que el motivo se sostiene.

Para decidir si una máquina se aísla importa lo que sigue abierto, no lo que alguna vez sonó. Se cuentan las alertas de ese recurso cuyo estado es Activa y se dejan fuera las descartadas, que se leen aparte por si el descarte fue un error.

El detalle de una alerta contiene los hechos concretos que la produjeron: la dirección de origen, la identidad y la operación observada. Esos datos son el pivote hacia el resto de la investigación: con la dirección se busca en el registro de actividad y en los inicios de sesión de las identidades.