Correlación entre la capa de IA y la capa de nube

Cuando un asistente descarga una factura, no es el cliente quien lee el archivo en la nube: es la identidad de servicio de las herramientas, con permiso sobre todo el contenedor. En la auditoría de la nube, mil lecturas legítimas de mil clientes y mil lecturas de un solo cliente que pide facturas ajenas tienen la misma forma: la misma identidad, la misma acción, la misma dirección de origen.

El cliente final solo aparece en la capa del asistente. Correlacionar es llevar esa información de vuelta: unir por identidad y ventana de tiempo, o por un identificador común si la herramienta lo propaga, y preguntar lo que ninguna capa responde sola.

Un pico de lecturas de una identidad de servicio en una franja concreta es una pista, no un hallazgo. El siguiente paso es ir a la capa del asistente en la misma franja y preguntar qué clientes provocaron esas llamadas y cuántas hizo cada uno.

Que un cliente descargue muchas facturas puede ser normal: las suyas de varios meses. Lo que no es normal es que el titular de las facturas no sea él. La correlación útil compara dos campos del mismo evento: quién pidió y de quién es el recurso. Cuenta los titulares distintos y descuenta al propio cliente.

En una ventana de tiempo caben muchas cosas a la vez, y la correlación por tiempo tiende a meter en el mismo saco lo que solo coincidió. Antes de dar un evento por parte del incidente se comprueba si tiene una explicación propia: una tarea programada, un despliegue, un proceso de cierre. El inventario de identidades, con su uso y su horario esperado, es lo que permite descartar con fundamento.

Una investigación así termina en una regla, para que la próxima vez avise el SIEM y no una auditoría de facturación. La buena regla vive en la capa que tiene el dato que discrimina, aunque el síntoma se haya visto en la nube; además, la corrección de fondo (que la herramienta compruebe el titular) va aparte, a un ticket de ingeniería.