Sala 3 · lo que une el SIEM y lo que deja ver el correo

Una regla de correlación no mira un evento: cuenta eventos de un mismo origen dentro de una ventana y exige una secuencia. Para saber si una regla salta hay que contar, desde el primer fallo, cuántos hay antes de que llegue el éxito y si todo cabe en el tiempo que dice la regla. Quedan fuera quienes fallan pocas veces, quienes tardan demasiado y quienes nunca entran.

El tiempo entre el primer fallo y el éxito dice cuánto insistió quien probaba, y sirve para ordenar la respuesta: una entrada lograda a los pocos minutos de empezar es más urgente que una que tardó horas. El tiempo se cuenta en minutos exactos entre las dos horas del mismo origen.

Un SIEM que no recibe nada de una fuente no distingue entre «no pasó nada» y «dejó de enviar». Por eso se compara el momento del último evento con la hora de corte y con el intervalo con que esa fuente suele escribir; cuando la espera supera el umbral de la regla de silencio, hay que ir a ver la fuente antes de confiar en los paneles.

Para correlacionar, todos los eventos tienen que estar en la misma hora. Un registro sin marca de zona se interpreta con la zona que dice la fuente, y se convierte a UTC antes de compararlo con los demás: de lo contrario, una denegación que ocurrió antes de los fallos de VPN parece ocurrir cinco horas antes, o después, de lo que fue.

La pasarela de correo evalúa SPF, DKIM y DMARC y decide qué hacer: entregar, poner en cuarentena o rechazar. Un mensaje con la autenticación fallida que igual se entrega es una señal débil por sí sola, pero cobra peso cuando su destinatario aparece después en otra fuente con una conducta que dispara una regla. Ver ambas cosas juntas es la ventaja de tener el correo en el SIEM.