Leer una alerta a las 3 de la mañana: cómo es un buen triaje
La diferencia entre un SOC maduro y un caro reenviador de alertas se ve en los primeros cuatro minutos de un incidente. Esta es la secuencia.
SOC console, live detection view
Real console screenshot with a genuine timeline and alert queue, identifiers removed. Do not fabricate alert volumes.
2400×1350 · PNG · @2x
Salta una alerta a las 03:12. Viaje imposible: la misma cuenta se autenticó desde Richmond y desde un proveedor de hosting en otro país con once minutos de diferencia. Eso te lo puede decir una herramienta. Lo que pasa a continuación depende por completo de personas y procesos.
Minuto uno: ¿esto es real?
El viaje imposible es una de las detecciones más ruidosas que existen. Una VPN, un proxy corporativo, un operador móvil enrutando por otra región, una tarea programada en una VM en la nube usando una cuenta de servicio. Antes que nada, el analista determina si la segunda ubicación tiene explicación. Si la pata «imposible» viene de tu propio rango de salida, la alerta es un problema de ajuste, no un incidente.
Minuto dos: ¿qué hizo la sesión?
Aquí es donde paran casi todos los servicios de reenvío de alertas y donde empiezan las investigaciones de verdad. Un inicio de sesión no es un incidente. Un inicio de sesión seguido de una regla de bandeja que reenvía todo a una dirección externa y borra la copia enviada sí lo es, y ambos eventos viven en registros distintos.
- Nuevas reglas de bandeja o de flujo de correo, sobre todo reenvío o borrado automático
- Método MFA añadido, cambiado o registrado desde la nueva ubicación
- Consentimiento concedido a una aplicación OAuth
- Acceso o descarga masiva sobre el almacenamiento documental
- Cualquier cambio de privilegios en la cuenta o en otras
Un inicio de sesión no es un incidente. Un inicio de sesión más una nueva regla de reenvío es una brecha en curso con quince minutos de ventaja.
Minuto tres: acota antes de actuar
El instinto es desactivar la cuenta de inmediato. A veces es lo correcto. Pero un atacante que pierde el acceso de golpe sabe que le han visto, y si ha establecido un segundo punto de apoyo, acabas de decirle que lo use. Dos minutos para determinar si esta cuenta es la única afectada suelen ser dos minutos bien gastados, y es un juicio que requiere un analista, no una rama de playbook.
Minuto cuatro: contén y luego despierta a alguien
Revoca sesiones y tokens de refresco, no solo la contraseña: restablecerla sin más deja válido un token existente hasta que caduque. Elimina las reglas maliciosas después de registrarlas. Y entonces haz la llamada. A las 3 de la mañana, despertar a la persona adecuada por un compromiso real de cuenta es lo correcto, y un SOC que evita esa llamada para no molestar a nadie no está prestando el servicio que compraste.
Qué pasa a la mañana siguiente
La parte que separa un servicio de una suscripción: la detección se ajusta. Si la alerta era ruido, la regla se corrige para que el mismo falso positivo no vuelva a saltar. Si era real, el hueco que lo permitió —sin acceso condicional en esa cuenta, sin protección de tokens, sin alerta sobre consentimientos OAuth— se convierte en una recomendación escrita con un responsable. Un incidente del que no aprendes es un incidente que has aceptado volver a tener.