Respuesta: del signo a la acción¶

Traducción automática del original francés.

Una detección que no tiene ningún resultado es inútil. Esta página describe lo que ocurre después: quién es notificado y por qué vía, lo que hace el parque por sí mismo, cómo se investiga durante el incidente, y cómo se declara un incidente grave.

Los términos técnicos se refieren al glosario.

sequenceDiagram
    autonumber
    participant D as Détecteur
    participant S as SIEM
    participant R as Réponse automatique
    participant H as Répartiteur d'alertes
    participant O as Opérateur
    participant V as Investigation à chaud
    participant I as Registre d'incidents

    D->>S: événement
    S->>S: règle → identifiant → niveau
    alt règle liée à une action
        S->>R: blocage, redémarrage ou isolement
        Note over R: toujours avec une durée :<br/>le blocage se lève seul
    end
    S->>H: alerte filtrée par identifiant de règle
    H->>O: deux messageries, un seul envoi
    O->>V: question posée à toute la flotte
    V-->>O: une réponse par machine
    opt incident important
        O->>I: déclaration datée
        I-->>O: échéances 24 h · 72 h · 1 mois
    end

1. Notificar: un único camino¶

Todo lo que debe notificar a alguien se publica en un repartidor único, que duplica hacia dos sistemas de mensajería. Existe una vía directa en el único caso en que el propio repartidor no responde. La acción, los formatos y los posibles problemas están en el procedimiento Configurar una notificación.

¿Por qué un único camino: un tercer camino de notificación es un tercer camino que mantener, y siempre es el que se olvida cuando es necesario. Un emisor no conoce los destinos; cuando uno cambia, solo la mapa del repartidor se actualiza.

Tres reglas rigen lo que se envía:

Filtrar por identificador de regla. Un filtro por grupo envía reglas vecinas y genera duplicados. Y el nivel de severidad también decide lo que se envía: una detección que tiene su propio camino debe permanecer por debajo del umbral de la integración general, de lo contrario, se envía dos veces.
Medir antes de activar. Todo nuevo detector pasa primero por un período de recopilación, con una fecha de activación predefinida. Se activa una alerta cuya volumen se conoce, no una alerta cuya volumen se descubrirá.
Una alerta recurrente tiene una histeresis y la duración de su serie. Se lee: "Siempre fallida, desde hace 3 días"; la misma línea repetida cada hora ya no se lee.

2. Actuar por sí mismo: la respuesta automática¶

Un SIEM que detecta, correlaciona y notifica sin nunca actuar deja abierta toda la ventana entre la alerta y el momento en que un humano la lee — durante la noche, esta ventana se cuenta en horas.

La respuesta automática de Wazuh dispone de tres acciones:

Acción	Qué hace
Bloqueo de una fuente	Regla de firewall aplicada al host contra la dirección que ha generado la detección
Reinicio de un servicio	Para las detecciones que indican que un servicio se encuentra en un estado anormal
Aislamiento de un contenedor	Interrupción de su tráfico mediante una regla dedicada, y mensaje al distribuidor para que un humano tome el relevo

Y tres restricciones, que son más importantes que las acciones:

Cada acción está vinculada a identificadores de regla precisos, nunca a un grupo: una acción automática solo debe activarse en detecciones que se han leído individualmente.
Cada bloqueo tiene una duración (timeout). Un bloqueo permanente en un falso positivo es un error que nos infligimos, y cuanto más tiempo dure, más nadie sabe que existe.
Los bloqueos se aplican a lo que el host realmente ve. Para el tráfico web, el host del contenedor ve la dirección del servidor, no la del cliente: CrowdSec, en la capa de aplicación, es quien actúa en este punto. La respuesta automática del SIEM procesa las fuentes que el host ve en tiempo real.

El testigo. Un sensor lee durante una semana deslizante los bloqueos establecidos y los bloqueos levantados, y exige que no existan bloqueos abandonados — establecidos, pero nunca levantados. Un mecanismo de levantamiento defectuoso no se ve de otra manera: los bloqueos se acumulan en silencio.

3. Investigar durante el incidente — Velociraptor¶

El SIEM recopila la información siguiendo reglas predefinidas. No responde a la pregunta que se plantea durante el incidente, y que no se había previsto: "¿Qué binarios se han ejecutado en estas tres máquinas desde ayer? ¿Qué conexiones están abiertas, y a través de qué procesos?". Sin herramienta, cada máquina se interroga individualmente, lo que prolonga la investigación.

Velociraptor es la herramienta de DFIR del parque: un servidor y un cliente en cada máquina: hipervisor, máquinas virtuales, máquina GPU, servidor fuera de sitio y máquina macOS. Se formula una pregunta en VQL y se envía a toda la flota de una sola vez (hunt).

Opción	¿Por qué?
Verificación de la firma del editor antes de la instalación	Una herramienta que controla todas las máquinas es el objetivo más rentable del parque.
Interfaz accesible solo desde la red local y la red privada, sin nombre público	No hay razón para que Internet la conozca.
Conexión mediante OIDC, reservada para la cuenta de administración	Una única autoridad de identidad, incluso aquí.
Cliente limitado en procesador y memoria en el hipervisor	Una investigación no debe ralentizar todas las máquinas virtuales a la vez.
Autoridad de certificación del servidor almacenada en dos lugares	Perderla obligaría a re-registrar a cada cliente.

El testigo. Una solicitud de inventario lanzada en toda la flota debe generar tantas respuestas como clientes. La herramienta distingue dos tipos de fallos que se asemejan: un cliente ausente (nunca registrado, o desinstalado) y un cliente silencioso (registrado, pero que ya no responde). El primero se corrige mediante un registro, el segundo mediante una investigación.

Las solicitudes útiles en caso de incidente se registran en un manual de procedimientos, que se elabora antes de que se necesite.

4. Declaración — el registro de incidentes¶

NIS2 impone a las entidades afectadas, en caso de cualquier incidente importante, tres plazos: una alerta temprana en un plazo de 24 horas, una notificación en un plazo de 72 horas y un informe final en un plazo de un mes. El parque no está sujeto a esta directiva; se aplica la mecánica, ya que obliga a clasificar un incidente en lugar de dejar que se diluya en un hilo de conversación.

El registro recoge la descripción, la fecha de detección y la clasificación. Para un incidente importante, calcula los plazos y marca cualquier incumplimiento. Un sistema de supervisión lo monitoriza.

Lo que el sistema de supervisión no demuestra

Demuestra que los plazos de los incidentes declarados se cumplen. No demuestra que un incidente real haya sido declarado: un registro vacío pasa. Este límite está escrito en el encabezado del propio sistema de supervisión —ver Cumplimiento.

Tres objetos distintos, que no deben confundirse:

Objeto	Lo que contiene
La nota de incidente	La descripción: lo que se ha visto, creído, medido y corregido
El ticket	El estado: abierto, resuelto, y la forma de verificar la resolución
El registro	Los plazos reglamentarios de un incidente clasificado como importante

Ninguno reemplaza a los otros dos.

Leer después¶

Detección — de dónde provienen las señales.
Continuidad — cuando el incidente ha causado daños.
Enviar una notificación — la acción.

Dernière vérification de cette page : 2026-09-11