Correlación de eventos y gestión de incidentes

A medida que las redes crecen, las alertas de seguridad individuales pueden provocar fatiga de alertas. Suricatavel incluye un motor de correlación de eventos y un subsistema de gestión de incidentes para agrupar automáticamente eventos de seguridad relacionados, priorizar amenazas críticas y agilizar la mitigación.

---

Motor de correlación de eventos

El motor de correlación evalúa de forma continua las alertas entrantes y las agrupa en Incidentes accionables según reglas lógicas definidas por el usuario.

Reglas de correlación

Las reglas de correlación definen los criterios y límites para agrupar alertas. Se configuran en Administration > Correlation rules y constan de:

• Condiciones de coincidencia: Filtran alertas según campos como IP origen, IP destino, Signature ID o severidad.
• Ventana temporal: Define la distancia temporal máxima entre alertas para pertenecer al mismo incidente (por ejemplo, 5 minutos).
• Claves de agrupación: Especifican qué campos deben coincidir para vincular alertas entre sí (por ejemplo, agrupar todas las alertas que compartan la misma source_ip o signature_id).

Procesamiento en segundo plano

La correlación se procesa de forma asíncrona mediante la cola de trabajo EvaluateCorrelationRulesJob. Cuando se ingiere un lote de alertas:

1. El motor comprueba si la alerta coincide con alguna Regla de correlación activa.
2. Si coincide, busca un Incidente abierto existente que comparta las claves de agrupación dentro de la ventana de tiempo.
3. Si existe un incidente abierto coincidente, la alerta se asocia automáticamente a él.
4. Si no existe ninguno, se crea un nuevo Incidente.

---

Ciclo de vida de los incidentes

Una vez generados los incidentes, los analistas gestionan su ciclo de mitigación y resolución.

Flujo de estados

Un incidente transita por los siguientes estados:

• Open: Incidente recién creado pendiente de revisión.
• Investigating: Un analista ha tomado el incidente y está investigando la causa raíz.
• Remediated: Se han aplicado medidas de mitigación activas (como bloqueos de IP en cortafuegos).
• Resolved: La amenaza ha sido neutralizada por completo.
• Closed / False positive: Descartado como excepción intencionada o falsa alarma.

Panel de detalle del incidente

La vista de Incidentes en Analytics > Incidents ofrece un entorno integral de análisis forense:

• Línea temporal y alertas asociadas: Inspección cronológica de todas las alertas que originaron el incidente.
• Métricas del sensor y contexto de red: Gráficas de CPU, RAM y ancho de banda del sensor afectado en el momento del incidente.
• Acciones de mitigación: Desvincular alertas falsas positivas, bloquear IPs maliciosas en cortafuegos perimetrales o enviar tickets a Jira/ServiceNow directamente desde el incidente.

---

Interfaz de correlación de eventos

En Analytics > Event correlation, los analistas pueden explorar, correlacionar y consultar telemetría de red:

• Barra interactiva de búsqueda: Filtrado de flujos de eventos mediante búsqueda de texto completo, operadores lógicos y coincidencia exacta de campos.
• Creación manual de incidentes: Selección de múltiples alertas en distintos sensores para agruparlas manualmente en un incidente.
• Visualización en grafo: Análisis visual de relaciones entre IPs origen, IPs destino y puertos para determinar el vector de ataque.

Beast Mode (Búsqueda profunda)

Para investigaciones forenses exhaustivas, los analistas que dispongan del permiso use_beast_mode_permission pueden activar el modo Beast Mode mediante el interruptor situado junto a la barra de búsqueda:

• Búsqueda en JSONB y protocolos: Permite realizar consultas directas sobre metadatos estructurados anidados (como tls.ja3.hash, http.user_agent o dns.query.name) y fragmentos de payload.
• Ventana temporal ampliada: Las consultas superan los límites habituales de agregados rápidos para consultar particiones históricas profundas.

Consejo

Utilice la búsqueda estándar para la operativa diaria y active Beast Mode cuando necesite realizar análisis forenses profundos de protocolos específicos o payloads.

Gestión de índices adaptativos

Para mantener la rapidez en búsquedas profundas sin agotar el espacio en disco, Suricatavel incluye un motor de índices adaptativos:

• Análisis de telemetría: El sistema registra métricas de consulta (SearchTelemetryService) y detecta patrones de filtrado frecuentes.
• Recomendación de índices parciales: Al detectar filtros recurrentes en atributos no indexados, Suricatavel calcula índices parciales óptimos para PostgreSQL / TimescaleDB.
• Control administrativo: Los administradores pueden revisar recomendaciones, aplicar índices o purgar los que hayan quedado en desuso desde el CLI:

# Consultar el estado de los índices y el presupuesto de almacenamiento
suricatavel indexes status

# Analizar la telemetría y ver recomendaciones
suricatavel indexes analyze

# Aplicar los índices recomendados durante la ventana de mantenimiento
suricatavel indexes apply

# Purgar índices parciales en desuso
suricatavel indexes prune