De eventos aislados a una sola imagen del ataque
Las señales de seguridad viven en flujos separados: una anomalía en un servidor por aquí, una alerta de seguridad en un dispositivo por allá, una desviación en el ADN de comportamiento de un dispositivo y un evento de ataque atrapado en una trampa. Cada una por sí sola parece marginal. Pero una brecha real no es ninguna de ellas por separado: es la historia que se desarrolla a través de todas. El motor de correlación de Doogree lee esa historia.
El problema: cuatro flujos que no se hablan entre sí
Doogree ya cuenta con cuatro fuentes de verdad independientes: anomalías de servidor, alertas de seguridad de dispositivo, anomalías en el ADN de comportamiento de un dispositivo y eventos de ataque —honeytokens, fuerza bruta, contacto con C2—. El problema es que cada flujo se vigila de forma aislada: un administrador ve seis alertas de baja severidad y las marca como ruido. Pero esas mismas seis alertas, si las encadenas, son un escaneo que llevó a un acceso que llevó a un movimiento lateral. El ruido era el ataque.
La solución: correlación por entidad y por tiempo
El motor de correlación se ejecuta cada 5 minutos y hace tres cosas. 1. Agrupar por entidad. Todas las señales de los cuatro flujos se agrupan en torno a una entity compartida: un dispositivo, un servidor o la dirección IP de un atacante. 2. Agrupar por tiempo. Dentro de una ventana de dos horas, para que señales dispersas pero cercanas entre sí se conecten en la misma historia. 3. Mapear a la kill-chain. Cada señal se mapea a una etapa general en la cadena de ataque de MITRE ATT&CK: reconocimiento → acceso → ejecución → evasión → movimiento lateral → C2 → impacto. El resultado: un incidente en curso por entidad, en lugar de una avalancha de alertas.
Escalado: una cadena peor que cualquier alerta individual
Aquí es donde entra el verdadero valor. Cuando varias etapas distintas de la kill-chain se acumulan sobre la misma entidad, el motor escala la severidad automáticamente: una cadena reconocimiento → acceso → lateral es mucho más grave que cualquiera de sus eslabones por separado. Y cuando un incidente alcanza severidad alta o crítica, el sistema envía una alerta a los administradores del espacio de trabajo y ofrece un botón de contención que actúa con consentimiento: reparación con consentimiento, no una acción a ciegas.
Ciclo de vida: de la alerta al cierre
Un incidente no es un destello puntual, sino un registro con estado: abierto, reconocido, resuelto. Puedes reconocerlo, investigarlo y cerrarlo, y todo queda guardado para el expediente. Sobre todo ello se ejecuta un resumen SOC diario por correo electrónico que sintetiza los incidentes altos/críticos abiertos, para que ninguna cadena abierta se pierda por el camino.