Qué fuentes importan y por qué

Un SIEM puede recibir millones de eventos al día y aun así no contestar lo que un caso pregunta. Por eso las fuentes no se priorizan por su tamaño ni por lo que traiga la herramienta de fábrica: se priorizan por las preguntas del caso y por el dato que cada una contiene.

Cinco preguntas bastan para empezar casi cualquier investigación: quién (la cuenta), desde dónde (la dirección o el equipo de origen), qué tocó (archivos, tablas, funciones de una aplicación), qué salió (conexiones y volumen) y qué cambió (cuentas, permisos, configuración). Para cada una se anota qué fuente tiene el dato y en qué campo.

Un ejemplo ajeno al caso: en una tienda en línea, el registro del módulo de pagos es pequeño, pero es la única fuente que contesta «qué se cobró y a quién». El registro de peticiones de imágenes es enorme y no contesta casi nada de un incidente. La primera es oro; la segunda, ruido.

Una aplicación detrás de un balanceador o de un proxy inverso no ve al cliente: ve al balanceador. La dirección real, la que contesta «desde dónde», suele quedar solo en el registro de quien recibió primero la petición, y a veces se pasa a la aplicación en una cabecera que ella decide si anota.

El resultado práctico: la fuente que parece obvia (el registro de la aplicación) puede tener el campo de origen vacío o con la dirección equivocada. Hay que mirar el campo, no el nombre de la fuente. En el laboratorio tienes el inventario de Cumbrebella con el campo de origen de cada una.

Conectar una fuente al SIEM es una decisión que alguien tomó, o no. Lo que no se conectó no desaparece: se queda en el disco de su servidor, con la rotación que tenga, sin las búsquedas rápidas ni las alertas. En la primera hora el inventario responde tres cosas por fuente: si existe, si llega al SIEM y con qué campos.

Contar las fuentes que no llegan no es un trámite: es la medida de cuánto del caso hay que ir a buscar a mano, servidor por servidor, y de qué se puede perder mientras tanto.

Cuando la fuente que contesta la pregunta no llega al SIEM, el reflejo equivocado es darla por perdida o sustituirla por otra que «más o menos» dice lo mismo. Lo correcto es tratarla como cualquier evidencia volátil: pedir que se exporte su registro local, con hora, zona y resumen hash anotados, antes de que rote, y dejar escrito que la fuente se incorporará al SIEM cuando el caso lo permita.

Sustituirla es lo más peligroso: el portal que sí está en el SIEM no tiene la dirección del cliente, y usar la del balanceador como si fuera la del cliente convertiría a un servidor interno en el origen de la consulta.