La fatiga de alertas
Es el problema más común de los equipos de seguridad: un sistema de detección que genera cientos o miles de alertas al día. Casi todas son falsas o irrelevantes. Al cabo de unas semanas, el equipo aprende a ignorarlas. Y la alerta que de verdad importaba llega mezclada con las demás y pasa desapercibida.
Más alertas no es más seguridad. Es menos.
Menos reglas, mejor pensadas
Cada regla de detección se escribe como una ficha, igual que un control:
- Qué riesgo cubre: "uso de una credencial de administración desde un país donde no trabajamos".
- Qué condición la dispara, en términos concretos.
- Quién la recibe, con nombre o rol.
- Qué hay que hacer cuando salta: el primer paso del guion de respuesta.
Una regla sin acción prevista no es una alerta, es ruido.
Afinar como trabajo continuo
Cada alerta, al cerrarse, se marca como útil o como falsa. Con esa marca:
- Las reglas que solo generan falsos positivos se afinan (más contexto, excepciones conocidas) o se retiran.
- Los incidentes que no dispararon nada se convierten en reglas nuevas (es la lógica de cada fallo deja una regla).
- El indicador que importa no es cuántas alertas hay, sino qué porcentaje de ellas es útil y cuánto se tarda en atender las importantes.
Por dónde empezar
Las primeras reglas que conviene tener cubren lo que casi siempre aparece en los incidentes reales: inicios de sesión anómalos en cuentas privilegiadas, cambios de permisos fuera de los procesos normales, desactivación de registros o de controles, accesos masivos a datos confidenciales y artefactos sin firma intentando desplegarse.
Detectar a tiempo solo sirve si después se sabe qué hacer. Eso no se improvisa durante el incidente.
Cómo lo aplicamos: Ciberseguridad.