¿Cómo distinguimos un incidente real de una falsa alarma?

Contrastando la alerta con lo que sabe, deprisa y siempre en el mismo orden. Hágase cuatro preguntas: se conoce el dispositivo y a su responsable, hay un motivo de negocio para este comportamiento, el destino o la cuenta son conocidos, y ha pasado algo más fuera de lo normal en el mismo equipo o a la misma hora. Una copia de seguridad, una actualización de software o un administrador trabajando hasta tarde explican muchas alertas en minutos. Lo que nadie sabe explicar, afecta a varios equipos o sigue a otra alerta merece escalarse. Anote lo que comprobó, aunque resultara inofensivo, para que la siguiente persona no empiece de cero. NetSenX explica en cada alerta qué características de red la provocaron, nombra la técnica de MITRE ATT&CK cuando corresponde y le permite marcar un falso positivo, con la decisión guardada en el registro de auditoría.

← Las 60 preguntas sobre Respuesta a incidentesTodos los temas