¿Qué debe incluir cada alerta de seguridad?

Lo suficiente para actuar sin hacer de detective: qué host y qué cuenta, qué se observó, cuándo empezó, por qué es inusual para ese host, qué confianza tiene la herramienta y qué comprobar después. Una buena alerta también indica dónde están las pruebas, por ejemplo qué conexiones intervienen, para que el lector pueda confirmarla, y qué otras alertas forman parte de la misma historia. Una alerta que solo da el nombre de una regla o una puntuación devuelve al analista a los datos en bruto, y en un equipo pequeño eso suele significar que se ignora. Cuando evalúe una herramienta, pida tres alertas reales y entrégueselas al compañero que las leería a las 8:00: ¿podría decidir en cinco minutos si escalar? Cada alerta de NetSenX incluye en todos los planes una explicación en lenguaje claro de por qué saltó y qué características de red pesaron en su puntuación, y el registro de auditoría guarda qué se hizo con ella y quién lo hizo.

← Las 25 preguntas sobre Presupuesto, personal y ruido de alertasTodos los temas