Saltar al contenido
MoftgateMoftgate Docs
Guía del producto

Amenazas

Reúna alertas, incidentes DLP, señales de comportamiento y actividad de endpoints en un flujo de investigación.

Qué es la investigación de amenazas#

La investigación de amenazas recopila las señales de seguridad que la plataforma ya produce y las pone en una cola de revisión. Su propósito es eliminar el cambio de pestañas que ralentiza la investigación.

La plataforma no inventa un veredicto. Le da la señal, el activo afectado y el historial circundante, y registra su decisión para que el siguiente revisor la vea.

Hallazgos y su distribución por regla de clasificación.
Pantalla de hallazgos e investigación de Moftgate
Cerrar imagen

Fuentes de señales#

Cuatro fuentes alimentan la cola de investigación. Cada una tiene su propia página de detalle y su propia documentación:

FuenteQué aporta
Incidentes DLPCoincidencias de contenido sensible generadas por las políticas DLP en los canales protegidos.
Alertas de monitoreoAlertas de umbral y disponibilidad generadas por las políticas de monitoreo.
Analítica de comportamientoComportamiento anómalo de usuario y proceso en el endpoint que no coincide con la línea base.
Cronología forenseHistorial cronológico de eventos alrededor de un endpoint o usuario.
Una cola, muchas fuentes
El valor de este módulo es la correlación. Leer el mismo endpoint en cuatro tipos de señales es lo que convierte una alerta en una explicación.

Triaje#

  • Ordene primero por severidad, luego por tiempo. Una señal crítica de hace dos días importa más que una informativa de hace un minuto.
  • Verifique si el endpoint afectado sigue reportando. Un endpoint desconectado cambia lo que puede verificar.
  • Busque repetición. La misma señal en el mismo activo varias veces es un problema de configuración, no un evento único.
  • Asigne antes de investigar profundamente, para que dos personas no trabajen el mismo incidente.

Flujo de investigación#

  1. 1
    Validar la señal

    Verifique la fuente de la alerta, el endpoint, el usuario y la ventana de tiempo. Confirme que la señal se refiere al sistema que cree.

  2. 2
    Ampliar el contexto

    Lea la actividad, el comportamiento y la cronología forense juntos. Una sola alerta rara vez cuenta toda la historia.

  3. 3
    Decidir y asignar

    Establezca un responsable y un estado. Asignar el incidente es lo que evita que dos personas lo revisen dos veces.

  4. 4
    Registrar el resultado

    Cierre el incidente con una nota que explique la decisión. Si una política o automatización causó la alerta, ajústela en lugar de cerrarla silenciosamente.

Revise el contexto antes de cerrar
Revise siempre el contexto del endpoint, usuario y política antes de cerrar un incidente. Cerrar sin nota pierde el razonamiento para la siguiente persona.

Preguntas frecuentes#

¿Los incidentes DLP aparecen aquí?
Sí. La investigación de amenazas está diseñada para revisar incidentes DLP junto con las otras señales de seguridad, para que un incidente pueda leerse en contexto.
¿Debo cerrar un incidente que no entiendo?
No. Déjelo abierto, añada una nota describiendo lo que no está claro y asígnelo a la persona responsable del sistema afectado.
¿Cuál es la diferencia entre analítica de comportamiento y cronología forense?
La analítica de comportamiento le dice que algo inusual ocurrió y lo puntúa. La cronología forense reconstruye la secuencia exacta de eventos para que pueda explicarla.