Analizadores y etiquetas

Un analizador compara cada evento con un criterio y, si coincide, le añade una etiqueta. El criterio puede ser una regla escrita por otros (una regla de detección publicada), una cuenta (muchos fallos seguidos) o una rareza (un nombre que casi nadie consulta). En todos los casos la etiqueta responde solo a «esto cumple un patrón», no a «esto es malicioso».

Los patrones tienen explicaciones legítimas, y un buen analista las busca antes de escribir una conclusión. Una etiqueta tampoco es una prueba de cobertura: lo que ningún analizador contempla no sale marcado, y eso no lo hace inofensivo.

La tabla de analizadores ejecutados dice qué hace cada uno y cuántos eventos marcó. Conviene mirarla primero: un analizador que etiqueta cientos de eventos crea una cola de trabajo, y uno que marca pocos está siendo muy específico. Las reglas propias del equipo suelen ser las más amplias porque se escriben para «revisar», no para detectar algo concreto.

Un mismo evento puede llevar varias etiquetas de analizadores distintos. Si se cuentan las etiquetas, el resultado es mayor que el número de eventos que de verdad hay que mirar, y presentar «nueve marcas» cuando son menos eventos exagera el volumen de trabajo o la gravedad.

El extracto de la consola tiene una fila por cada pareja de evento y etiqueta. Contar eventos es contar los identificadores distintos.

Una de las marcas es una tarea programada creada de madrugada por una cuenta de administración. El analizador la marcó porque el patrón coincide, pero es posible que sea trabajo planificado. Alguien del equipo ya dejó un comentario en el evento y la explicación tiene una referencia.

Una explicación así no se acepta de palabra: se comprueba que el cambio existe, que su fecha y su alcance cuadran con el evento y que la cuenta es la autorizada.

Cuando una marca tiene una explicación comprobada, la etiqueta se conserva y se añade un comentario con la referencia: lo que se decidió y por qué queda a la vista de la siguiente persona. Borrar la etiqueta oculta que alguien ya lo revisó y hará que otro analista pierda el mismo tiempo.

Si la explicación no se pudo comprobar, se deja como pendiente, no como descartada.