Reglas de correlación entre fuentes

Cada fuente, mirada sola, deja dudas. El cortafuegos dice que alguien insistió; no dice si lo logró. La VPN dice que alguien entró; no dice si antes lo había intentado desde afuera. Al cruzarlas con una ventana y un criterio, aparecen secuencias que ninguna ve sola. La correlación no sustituye al análisis: lo prioriza.

Una buena regla escribe tres cosas: qué eventos busca, en qué fuentes y dentro de cuánto tiempo debe ocurrir la secuencia.

La regla COR-02 busca un equipo que consulta un dominio de la lista de vigilancia y, dentro de 2 minutos, tiene una conexión permitida a la dirección que el DNS le devolvió. Para evaluarla se hace un cruce: la consulta con el cortafuegos por el equipo y por la dirección de destino, y se comprueba la ventana.

Cruza las tablas dns y fw y cuenta los equipos distintos que cumplen la regla. Un equipo cuyo DNS no coincide con la lista de vigilancia no cuenta.

COR-03 mira la VPN sola: varios fallos de una misma cuenta seguidos de un éxito dentro de 15 minutos. Es una de las reglas clásicas, porque describe tanto a quien adivina una clave como a un usuario que se equivocó al teclear. La diferencia está en el número de fallos, en el origen y en lo que hace la cuenta después.

Lee la tabla de la VPN y encuentra la cuenta que cumple la regla.

El eslabón que une fuentes distintas es un dato común: aquí, la dirección pública del origen. Si una dirección aparece denegada en el cortafuegos y minutos después en la VPN, el cruce da un hallazgo que ninguna regla de una sola fuente produce. También sirve el camino contrario: descartar. Si la dirección de la VPN nunca aparece en el cortafuegos como denegada, ese hilo se cierra.

Busca la dirección pública que aparece tanto en las denegaciones del cortafuegos como en los fallos de la VPN.

Una regla de correlación que no dispara puede estar bien, porque no pasó nada, o ciega. Antes de ensanchar la ventana o bajar el umbral, se revisan las causas básicas: si las fuentes llegan, si los campos están normalizados y si las horas están alineadas. Ensanchar la ventana sin arreglar un reloj corrido solo trae falsos positivos.