Detectar y clasificar

Una consola de seguridad genera eventos a todas horas, y la mayoría son normales: una copia de seguridad programada, un servicio que se reinicia, un informe que se genera solo. Tratar cada evento como una emergencia tiene un coste real —el equipo se quema y deja de mirar—, así que el primer trabajo de la detección es descartar el ruido conocido. Una copia que ocurre cada noche a la misma hora no es un incidente; es el sistema funcionando.

Saber qué es normal es lo que permite ver lo que no lo es. Sin una idea de cómo suena un día tranquilo, todo parece sospechoso y nada se investiga de verdad.

Hay eventos que no son ruido pero tampoco son, por sí solos, un incidente: un único inicio de sesión fallido, un puerto que respondió una vez. Pueden ser el dedo que se equivoca de contraseña o el primer paso de un ataque, y con un solo dato no se puede distinguir. La respuesta proporcionada es anotarlo y vigilar si se repite: tres, diez o cien fallos seguidos ya son un patrón que se investiga; uno solo se observa. Reaccionar como ante un incidente a cada evento aislado es volver al problema de la tarea anterior.

La severidad baja no significa «ignorar»: significa «todavía no hay suficiente para declarar». La diferencia es que uno se apunta y el otro dispara el plan.

Un incidente se declara cuando las señales, juntas, no tienen una explicación legítima. Un documento de ofimática que lanza un intérprete de comandos y, acto seguido, abre una conexión hacia fuera es exactamente eso: ninguna de las dos cosas es normal, y encadenadas describen una ejecución maliciosa en marcha. A esa alerta se le pone severidad alta, se declara el incidente y se activa el plan —se asignan los roles, se anota la hora, se prepara la contención—. Declararlo es lo que convierte «algo raro en una consola» en «el equipo trabajando con un procedimiento».

El criterio para declarar no es que un evento sea llamativo, sino que la combinación de señales no encaje con ningún comportamiento legítimo del sistema.

Abre el laboratorio del triaje de la madrugada. Hay varias alertas sin clasificar y la hoja donde el analista de guardia las separó en ruido, severidad baja e incidente declarado. Localiza la que se clasificó como incidente —la que activó el plan— y lee su anotación: ahí está el código de la sala.