Medicina natural · Cuentos infantiles · Ciberseguridad

Triage de alertas: los 5 minutos que definen si un incidente escala

Mirá cómo se clasifica una alerta de seguridad en los primeros minutos, qué errores hacen que un incidente se descontrole y cómo decidir sin trabarte.

CIBERSEGURIDAD

9/30/20266 min read

Triage de alertas: los 5 minutos que definen si un incidente escala

Cuando salta una alerta de seguridad, hay una ventana muy corta —a veces literalmente cinco minutos— para decidir si eso que apareció en la pantalla es un problema real o solo ruido. Esa decisión inicial, tomada bajo presión y con información incompleta, es una de las más importantes de todo el trabajo de un equipo de seguridad. Si se hace bien, un ataque se frena antes de que crezca. Si se hace mal, ese mismo ataque tiene todo el tiempo del mundo para avanzar mientras nadie lo está mirando de verdad.

Este artículo explica qué es el triage de alertas, cómo tomar esa primera decisión sin necesidad de ser un experto para entenderla, qué errores hacen que todo se descontrole y qué se puede hacer para tomar mejores decisiones en esos primeros minutos.

Qué es el triage de alertas y por qué importa tanto

Triage es una palabra que se usa en varios ámbitos —también en medicina de urgencias— y siempre significa lo mismo: clasificar rápido, según gravedad, cuando hay más cosas para atender que tiempo disponible. En seguridad informática, el triage de alertas es el proceso de mirar una notificación de actividad sospechosa y decidir, en minutos, si hay que actuar ya, si puede esperar un poco, o si en realidad no es nada.

Un equipo de seguridad recibe todos los días una cantidad enorme de alertas. La gran mayoría no son ataques reales: son comportamientos normales que un sistema automático marcó como "raros" sin serlo. El problema es que, en algún punto de todo ese volumen, sí hay algunas alertas que representan un ataque real en curso. Encontrar esa aguja en el pajar, y hacerlo rápido, es exactamente lo que hace el triage.

Las señales que hay que mirar primero

Antes de analizar nada en profundidad, hay algunas preguntas rápidas que permiten entender, en segundos, qué tan seria es una alerta:

¿De dónde viene? No es lo mismo una alerta que involucra la computadora de una persona común que una que involucra un servidor donde se guardan datos importantes de la empresa. El mismo tipo de alerta puede ser insignificante en un lugar y gravísima en otro.

¿Qué tan raro es el comportamiento? Un intento de ingreso fallido una vez no dice mucho. Cien intentos fallidos en dos minutos, desde el mismo lugar, sí dice mucho. Un ejemplo concreto de este tipo de señal son los intentos de inicio de sesión fallidos en Windows: Log 4625 de Windows: señales que no debes ignorar

¿Hay algo más pasando al mismo tiempo? Una alerta sola, aislada, suele ser menos preocupante que varias alertas distintas ocurriendo juntas y en el mismo entorno. Cuando varias señales chicas aparecen a la vez, es mucho más probable que algo real esté pasando.

¿A qué hora ocurrió? Una actividad a las 3 de la madrugada, en una empresa donde nadie trabaja a esa hora, es mucho más sospechosa que la misma actividad a las 10 de la mañana en horario laboral.

Estas cuatro preguntas, respondidas rápido, ya permiten tener una primera idea bastante clara de qué tan urgente es la situación.

Un método simple para decidir rápido

Cuando hay que decidir en minutos, ayuda tener un método fijo, siempre igual, para no perder tiempo pensando cómo empezar cada vez. Uno simple y efectivo funciona en tres pasos:

Paso 1 — ¿Esto puede ser automáticamente descartado? Algunas alertas se explican solas: es un empleado conocido entrando desde su computadora habitual, en horario normal, haciendo algo que hace todos los días. Si la respuesta es clara, se cierra la alerta ahí mismo y no se pierde más tiempo.

Paso 2 — ¿Cuánto puede llegar a doler si esto es real? Acá se piensa en el peor escenario posible, aunque sea poco probable: si esta alerta resultara ser un ataque de verdad, ¿qué tan grave sería? No es lo mismo comprometer una computadora aislada que comprometer el sistema donde están los datos de todos los clientes.

Paso 3 — ¿Hay más de una señal apuntando en la misma dirección? Si además de esta alerta hay otras cosas raras pasando al mismo tiempo, la urgencia sube directamente. Una sola señal puede ser casualidad. Varias señales juntas, ya no.

Con estas tres preguntas, cualquier alerta cae en una de tres categorías: se cierra (no era nada), se investiga con calma (puede esperar un rato, pero hay que mirarla) o se escala ya (hay que avisar de inmediato y actuar).

Los errores que hacen que un incidente se descontrole

El error más común es tratar una alerta grave como si fuera menor, generalmente porque "parece" algo conocido o porque el equipo está saturado de alertas y ya perdió la costumbre de prestarles atención de verdad. A este fenómeno se lo conoce como fatiga de alertas: cuando hay demasiado ruido todos los días, hasta las señales importantes terminan tratándose con la misma indiferencia que el resto.

Este es uno de los principales motivos por los que muchos SOC fallan en detectar las amenazas reales: Por qué tu SOC falla al detectar los verdaderos positivos

El error contrario también existe: tratar como grave algo que en realidad no lo era, lo que hace perder tiempo y energía en algo que no lo necesitaba, mientras otras alertas —tal vez las verdaderamente importantes— quedan esperando.

Otro fallo frecuente es no volver a mirar una alerta después de la primera evaluación. Una situación puede cambiar en minutos: algo que al principio parecía menor puede crecer rápido si nadie lo sigue de cerca. Y por último, la falta de comunicación clara dentro del equipo —cuando dos personas creen que la otra ya se está ocupando de algo, y en realidad no lo está haciendo nadie— es una de las formas más silenciosas en las que un problema chico se convierte en uno grande.

Escalar o cerrar: cómo tomar la decisión sin trabarse

Escalar significa avisar a alguien con más experiencia, o a todo el equipo, de que hay algo que necesita atención inmediata. Cerrar significa decidir que la alerta no representa un riesgo real y no hace falta seguir mirándola. La duda entre una y otra opción es, probablemente, el momento más incómodo de todo el proceso.

Una buena regla práctica es esta: si dudás, escalá. Escalar de más tiene un costo bajo —en el peor de los casos, alguien revisa algo que no era nada—. Cerrar de más algo que sí era grave tiene un costo altísimo, porque significa que un ataque real siguió avanzando sin que nadie lo frenara. Cuando un incidente escala a una investigación formal, la cadena de custodia digital se vuelve fundamental: Cadena de custodia digital: el primer fallo lo contamina todo. Ante la duda, siempre conviene equivocarse del lado más seguro.

Cómo se entrena esta habilidad

Nadie nace sabiendo tomar estas decisiones rápido y bien. Se entrena con la práctica, revisando casos reales que ya pasaron (tanto los que resultaron ser nada, como los que resultaron ser ataques de verdad) y entendiendo, en retrospectiva, qué señales había que haber visto antes. Entender conceptos como el orden de volatilidad también forma parte de esa preparación: Orden de volatilidad, explicado sin manual. Muchos equipos de seguridad hacen simulacros: arman una alerta falsa, simulan un ataque, y ponen a prueba qué tan rápido y bien reacciona el equipo.

Con el tiempo, y con la práctica, este proceso deja de sentirse como una decisión difícil cada vez y empieza a funcionar casi de forma automática. Es la misma lógica que un mecánico experimentado, que con solo escuchar un motor ya intuye qué puede andar mal: la experiencia acumulada hace que el ojo entrenado vea en segundos lo que a alguien nuevo le llevaría media hora de análisis.

Checklist rápido de triage de alertas

Una referencia simple para tener a mano:

Primeras preguntas (menos de 1 minuto)

  • ¿De qué equipo o sistema viene la alerta, y qué tan importante es ese sistema?

  • ¿El comportamiento es raro de verdad, o tiene una explicación simple?

  • ¿Hay otras alertas relacionadas ocurriendo al mismo tiempo?

  • ¿Ocurrió en un horario esperable o fuera de lo normal?

Decisión

  • ¿Se puede descartar con una explicación clara y verificable? → Se cierra.

  • ¿Hay algo de riesgo, pero no es urgente? → Se investiga con calma.

  • ¿Hay dudas reales o varias señales juntas? → Se escala ya.

Después de decidir

  • ¿Quedó registrado por qué se tomó esa decisión?

  • ¿Alguien más del equipo sabe que esta alerta ya fue atendida?

  • ¿Se programó una revisión posterior, por si la situación cambia?

Conclusión

El triage de alertas no requiere ser un experto en cada detalle técnico de un ataque. Requiere método, criterio y la disciplina de no bajar la guardia ni siquiera cuando el volumen de alertas es alto y agotador. Esos primeros cinco minutos —los que deciden si algo se convierte en un problema serio o se apaga a tiempo— se ganan con práctica, con buenas preguntas y con la costumbre de dudar del lado seguro. En seguridad, como en tantas otras urgencias, la calma no es no preocuparse: es saber exactamente qué mirar primero.