Escenario, consultas para el SOC de Cumbres Hoteles

La alerta señala una cuenta, pero una alerta es el comienzo de la investigación, no su resultado. Antes de ir a la cuenta conviene mirar el conjunto: de dónde vinieron los fallos de inicio de sesión de la noche y, sobre todo, contra cuántas cuentas distintas. Una dirección con muchos fallos contra una sola cuenta es una situación; una con pocos fallos contra muchas cuentas es otra, y no se lee igual.

Una vez ubicada la dirección, hay que mirar la cuenta de la alerta. Los registros de Entra dicen cuántas veces falló, cuándo entró y con qué nivel de autenticación se exigió la entrada (una entrada correcta sin segundo factor desde un país nuevo pesa distinto de una con él). Lo que importa es la secuencia: cuántos fallos hubo antes de que el primer inicio de sesión de esa cuenta saliera bien desde esa dirección.

Tras una entrada así, el directorio de Entra es el siguiente lugar donde mirar: un cambio que concede acceso a una aplicación permanece aunque se cambie la contraseña. Los cambios del directorio guardan quién los hizo y sobre qué objeto; el nombre del objeto afectado está dentro de una columna que guarda un objeto y no un texto plano.

La última pregunta es hasta dónde llegó. Las operaciones de gestión desde esa dirección están en la suscripción, y su orden respecto al inicio de sesión dice cuánto tardó en pasar de entrar a operar. Con eso se decide el caso.

Con la secuencia completa se decide cómo se trata el caso. Cada opción tiene consecuencias: cerrar un caso real como falso positivo deja una cuenta abierta; escalar un caso benigno cuesta tiempo; actuar sobre la cuenta sin autorización del dueño no es una decisión del analista.