Flujos de enriquecimiento

5 tareas · 40 min · Principiante

El primer flujo que casi todos los equipos automatizan es el que reúne contexto alrededor de una alerta: reputación de una dirección, dueño de un equipo, edad de un dominio. Es la automatización más segura de todas, con una condición: que solo lea. En Vegamar, el flujo de alertas de correo corre cada vez que una persona reporta un mensaje. Esta sala audita ese flujo desde el lado de la evidencia: qué hace cada paso, qué tan viejo es lo que consulta y qué campos de la alerta pone una persona ajena a la empresa. Solo lectura de tablas ficticias.

0 de 5 · 0%

Objetivo de la sala

Un paso de enriquecimiento trae información de otra fuente y la anota en el caso. Su valor es que ahorra al analista un puñado de consultas manuales. Su límite es que no debe cambiar nada fuera del caso: ni una lista de bloqueo, ni una cuenta, ni un equipo. Si un paso «de enriquecimiento» escribe en otro sistema, ya no es una consulta: es una acción, y debe pasar por las reglas de las acciones (aprobación, tope, registro).

La razón es práctica. Los pasos de enriquecimiento se ejecutan con cada alerta, miles de veces, y nadie los revisa uno a uno. Si uno de ellos cambia algo, lo cambiará miles de veces.

Responde para continuar

¿Qué propiedad debe cumplir siempre un paso de enriquecimiento?

Que corra solo en las alertas de severidad alta, porque son las que importan Que consulte y anote en el caso, sin cambiar nada en otro sistema mientras corre Que tarde lo menos posible, aunque a veces cambie una lista para ir más rápido

Ver pista de ayuda

Piensa en lo que ocurre cuando el paso corre miles de veces sin que nadie lo mire.

Cuando un flujo crece, es fácil que un paso «de enriquecimiento» reciba una función de más: «ya que consultamos la reputación, marquemos la dirección». Así se cuela una acción dentro de un flujo que todos creen inofensivo.

Abre el laboratorio y revisa pasos_del_flujo.

Responde para continuar

Escribe el identificador del paso del flujo que cambia algo fuera del propio caso.

Una consulta de enriquecimiento devuelve siempre algo, aunque la fuente esté desactualizada. Si el flujo no mira la fecha, una lista de hace dos meses entra al caso con el mismo aspecto que una de hoy, y el analista cree que una dirección está limpia cuando solo está ausente de una lista vieja.

Cruza fuentes con la fecha de ejecución que aparece en campos_de_la_alerta y busca la fuente cuyo dato supera la edad máxima que acepta la política.

Responde para continuar

Escribe el identificador de la fuente cuyo dato es más viejo de lo que permite la política.

La edad de un dato es la diferencia entre el día de la ejecución y su última actualización. Cuando supera el máximo, lo útil para quien arregla la fuente es saber por cuántos días se excedió: no es lo mismo un día de retraso que un mes.

Calcula, para esa fuente, los días de edad y réstales el máximo permitido.

Responde para continuar

¿Cuántos días por encima de su máximo está el dato de la fuente desactualizada? Escribe solo el número.

Una alerta de correo mezcla campos que pone la empresa (el equipo, la fecha) con campos que pone quien envió el mensaje: el asunto, el nombre del adjunto, el texto. Estos últimos son datos de entrada y nada más. Si un flujo los usa para decidir qué hacer, o un humano los lee sin cuidado, cualquiera puede escribir en ellos lo que le convenga, incluida una frase que parezca una orden.

Mira campos_de_la_alerta y busca el campo que intenta dar una instrucción al flujo o al analista.

Responde para continuar

Escribe el nombre del campo de la alerta que contiene un texto que intenta darle una orden a quien lo lea.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 El enriquecimiento solo lee

2 El paso que escribe Lab

3 Un dato que ya no sirve Lab

4 Cuánto se pasó Lab

5 Lo que escribe un tercero Lab

Whoami-Labs Pro utiliza cookies