Calidad de datos y huecos de cobertura

Cuando una fuente deja de enviar, el SIEM no genera ninguna alerta de nada: simplemente no hay eventos que evaluar. Una detección que dependía de esa fuente queda inservible y nadie lo nota hasta que hace falta. Por eso se vigila la salud de la ingesta con tanto cuidado como las amenazas: se compara el volumen reciente con el habitual y se avisa cuando se aleja.

Abre el pulso de las fuentes. Compara los eventos de las últimas 24 horas con el promedio diario de 30 días. Una fuente no manda ni un solo evento cuando suele mandar decenas de miles.

No todo fallo es total. Una fuente puede perder una parte de su tráfico por una configuración que cambió o por un nodo que dejó de enviar. Esa caída parcial es más difícil de ver, porque la fuente sigue «viva».

Una fuente que funciona bien en diez cuentas no protege la undécima. El inventario de cuentas dice, para cada una, si manda al SIEM sus registros de actividad y de red. Una cuenta que no manda nada es una cuenta donde nadie verá lo que pase.

La vigilancia de la ingesta se resuelve con alarmas sencillas sobre las dos tablas que acabas de leer. Una alarma por umbral fijo («menos de mil eventos») falla con fuentes de tamaños muy distintos; una alarma contra la propia línea base de cada fuente se adapta a cada una.