Bloque 7 — Infoblox IQ: de eventos y telemetría a investigación asistida
Objetivo del Bloque 7
Al finalizar este bloque, el participante podrá utilizar Infoblox IQ como apoyo para investigar eventos de seguridad, obtener contexto y formular mejores preguntas antes de tomar una decisión sobre una política.
La pregunta central será:
Nuestro modelo será:
7.1 Un evento no explica por sí solo lo que ocurrió
Threat Defense puede mostrarnos que una consulta fue detectada, permitida o bloqueada.
Eso nos dice qué ocurrió, pero no necesariamente nos permite entender inmediatamente:
- ¿Por qué es relevante?
- ¿Qué sabemos sobre la amenaza?
- ¿Qué otros elementos deberíamos revisar?
- ¿Necesitamos intervenir?
El problema cambia de:
a:
Para responder necesitamos contexto.
7.2 Infoblox IQ como apoyo a la investigación
Infoblox IQ permite interactuar con la información utilizando lenguaje natural para ayudarnos a explorar y comprender lo que estamos observando.
En lugar de revisar información sin una dirección clara, podemos comenzar con una pregunta:
y continuar:
La calidad de la investigación depende también de la calidad de nuestras preguntas.
Por eso:
7.3 De una respuesta a una hipótesis
El objetivo no es obtener una respuesta de IQ y aceptarla automáticamente.
Queremos utilizar el contexto obtenido para construir una explicación que podamos comprobar.
Por ejemplo:
Podemos comenzar pensando:
Y terminar con una hipótesis más útil:
Eso cambia nuestra forma de trabajar.
Ya no buscamos solamente una respuesta.
7.4 IQ informa la decisión; no la reemplaza
Infoblox IQ puede ayudarnos a obtener contexto y orientar una investigación.
Pero la decisión final sigue teniendo que considerar la evidencia y el entorno.
Por ejemplo, IQ puede ayudarnos a comprender por qué una actividad es sospechosa.
Eso no determina automáticamente que nuestra respuesta deba ser:
Podríamos necesitar:
dependiendo de lo que encontremos.
Por eso nuestro modelo completo es:
Investigation Challenge — Ask Better Questions
Utilizaremos Infoblox IQ sobre un evento generado u observado durante los laboratorios anteriores.
El objetivo es:
Paso 1 — Seleccionar un evento
El participante parte de un evento de Threat Defense.
Inicialmente sólo sabemos:
| Endpoint | ____________________________ |
|---|---|
| Domain | ____________________________ |
| Detection | ____________________________ |
| Action | ____________________________ |
La pregunta no será todavía:
Será:
Paso 2 — Preguntar
Utilizar Infoblox IQ para obtener contexto.
Por ejemplo:
Después continuar la investigación a partir de la respuesta:
No buscamos una lista fija de prompts.
Paso 3 — Construir una hipótesis
Con la información obtenida completar:
| EVENT | ____________________________ |
|---|---|
| WHAT WE KNOW | ____________________________ |
| HYPOTHESIS | ____________________________ |
| WHAT WE NEED TO VERIFY | ____________________________ |
| NEXT ACTION | ____________________________ |
El participante debe distinguir entre:
Paso 4 — Decidir el siguiente paso
Con la información disponible:
El resultado podría ser:
No todas las investigaciones necesitan terminar inmediatamente en una acción de enforcement.
Checkpoint
Al finalizar:
- Evento seleccionado
- Pregunta inicial definida
- Contexto obtenido con IQ
- Hipótesis formulada
- Evidencia pendiente identificada
- Siguiente acción justificada
El participante deberá poder recorrer:
Cierre del Bloque 7
Infoblox IQ nos permite convertir telemetría en preguntas, contexto e hipótesis que apoyan una investigación.
Pero hasta ahora hemos trabajado cada habilidad por separado.
En el último bloque eliminaremos gran parte de las instrucciones y plantearemos un escenario en el que el participante tendrá que decidir qué hacer y por qué.
Eso nos lleva a:
Ahí comprobaremos si realmente aprendimos a razonar sobre una política, no solamente a configurarla.