Consultas de investigación leídas

Una consulta que devuelve cero filas contesta una sola cosa: ningún evento cumplió ese filtro, en esas fuentes, durante esa ventana, con los datos que el SIEM tenía. Para llegar a «no ocurrió» tendrían que estar bien las cuatro cosas, y cada una puede fallar: el campo puede llamarse distinto, la ventana puede estar en otra zona, la fuente puede no estar conectada y los eventos pueden haber llegado sin parsear.

Por eso un cero se trata como una pregunta abierta, no como una respuesta. Se revisa la zona de la ventana, el nombre del campo, que la fuente envió datos en ese rato y el parseo, y solo entonces se decide qué se puede afirmar.

La causa más frecuente de un cero que engaña es la ventana de tiempo. Quien escribe la consulta piensa en la hora que dijo la víctima («a las 03:00») y la escribe tal cual, pero los datos están en UTC. El filtro mira un rato donde, en UTC, no ocurrió nada: la hora correcta es otra.

Se detecta comparando el texto de la consulta con la zona de los datos. En el laboratorio, la tabla de consultas guardadas tiene el texto de cada una y el número de filas que devolvió; la tabla de eventos está en UTC y el aviso del proveedor habla de hora local, UTC-5.

Para fiarse de una consulta se comprueba contra los propios eventos. Aquí, la cuenta del proveedor tiene sus eventos en la tabla; si el patrón se ve a ojo en once filas, una consulta bien escrita lo tiene que encontrar. Un patrón típico es una serie de fallos de autenticación seguida de un acierto: alguien que probó hasta dar con la clave, o quien no recordaba la suya. El patrón no dice cuál de las dos; solo que ocurrió.

Contar los fallos que preceden al primer acierto es un ejercicio de lectura de evidencia: se ordenan los eventos de la cuenta por hora y se cuentan las filas con resultado fallo antes de la primera con resultado éxito.

Las consultas que agrupan y cuentan suelen llevar un umbral (HAVING COUNT(*) > N) para no mostrar ruido. Un umbral alto es una apuesta: si el patrón real cabe por debajo, la consulta lo oculta y devuelve cero con toda corrección técnica. Una serie corta de fallos seguida de un acierto no es un volumen, es una secuencia, y un contador no la ve.

El umbral no se arregla bajándolo hasta que salga algo: se revisa qué patrón se busca. Para una serie de fallos seguida de un éxito, lo que importa es el orden en el tiempo de los eventos de una misma cuenta, no cuántos hay en total.