Agregación

La agregación es el acto de combinar datos de muchos registros, sistemas o eventos en un solo conjunto o resumen. Un servidor de registros que reúne eventos de cientos de equipos está agregando. También lo hace un informe que convierte miles de filas en un total, un promedio o un conteo.

En seguridad, la palabra tiene dos caras. La primera es una técnica: reunir datos dispersos para poder buscarlos, contarlos y compararlos. La segunda es un riesgo: piezas inofensivas por separado pueden volverse sensibles una junto a otra. El resumen en sí tiene su propia página, información agregada. Esta página trata el proceso y su efecto en la clasificación de datos.

El flujo es el mismo si el resultado es un panel o una alerta. Su calidad depende del segundo paso: los registros que no se pueden asociar al mismo usuario o al mismo minuto no se pueden combinar.

1. 1

   Recolectar

   Reúna registros o eventos de varias fuentes, como bitácoras, bases de datos y agentes en los equipos.

2. 2

   Alinear

   Lleve los campos a una forma común: zona horaria, identificador de usuario, nombres de campos.

3. 3

   Combinar

   Agrupe o una los registros por una clave compartida, por ejemplo un usuario, un host o una ventana de tiempo.

4. 4

   Resumir

   Aplique una función a cada grupo, como un conteo, una suma o un máximo, o conserve los registros combinados para buscarlos.

Los equipos de seguridad agregan porque un solo evento rara vez cuenta la historia. Un almacén central de registros, una alerta por umbral y una puntuación de riesgo parten de la misma idea en distintos niveles. Enviar eventos a una plataforma SIEM es una forma habitual, y el análisis de comportamiento, como UEBA, se apoya en la actividad combinada a lo largo del tiempo.

El lado de riesgo de la agregación es antiguo y sencillo. Cada dato de una lista puede ser público o de poco valor: un nombre, un departamento, un código de proyecto, una fecha de viaje. Juntos pueden revelar una lista de clientes, un negocio aún no anunciado o los movimientos de una persona. Las guías de seguridad lo llaman el problema de la agregación, y el efecto mosaico describe el mismo patrón.

La consecuencia es que una compilación puede merecer una etiqueta más alta que cada una de sus fuentes. Quien arma un informe, una exportación o un almacén de datos compartido debe preguntarse qué revela el conjunto, y no solo qué contiene cada columna, y tratar el resultado como información sensible cuando la respuesta sea seria.

Las tres palabras se usan con soltura y es fácil confundirlas. Describen pasos distintos, y cada uno pide un control distinto.

En Anexet Activity, la regla de seguridad estadística es la agregación en su forma más directa: la regla cuenta eventos de un tipo elegido, como correos, conversaciones o solicitudes web, durante una hora, un día, una semana o un periodo personalizado, y se activa cuando el conteo supera un umbral. Para los informes, la consola genera informes consolidados con columnas de total y promedio diario, y los informes de seguridad llevan los resultados a quienes los revisan.

1 / 2

• 
• 

Los controles parten de un hecho: un conjunto de datos combinado es un activo nuevo. Necesita un responsable, una etiqueta y una regla de acceso propia.

• Clasifique la compilación según lo que revela en conjunto, no según su fuente menos sensible
• Limite quién puede armar, exportar o programar informes combinados grandes
• Mantenga los datos de origen bajo la misma protección que el conjunto combinado
• Fije un tamaño mínimo de grupo para los resúmenes que se comparten ampliamente
• Vigile los volúmenes inusuales: muchas consultas o exportaciones de un usuario en poco tiempo pueden ser la primera señal de una exfiltración de datos

Haga una lista de los lugares donde su organización ya combina datos: registros centrales, informes compartidos, exportaciones para socios, espacios de análisis. Para cada uno, anote qué revela el conjunto y quién puede verlo, y compárelo con la etiqueta de las fuentes.

Contar eventos viene en segundo lugar. Cuando usted sabe cómo es el volumen normal de un equipo, una regla por umbral le avisa cuándo alguien se sale de él.