Mientras estaba en la generaci\u00f3n de documentos para un gran proyecto de ciberseguridad, una situaci\u00f3n retumbaba en mi mente. Una situaci\u00f3n, que muchos equipos de operaciones de seguridad,\u00a0(que com\u00fanmente se conoce como Blue\u00a0Team)\u00a0enfrenta recurrentemente.<\/p>\n
Para este proyecto, tuvimos interacci\u00f3n con el Blue\u00a0Team\u00a0en diversas ocasiones para solicitar cierta informaci\u00f3n de la infraestructura. Sus respuestas\u00a0siempre\u00a0ten\u00edan las mismas caracter\u00edsticas:\u00a0se confirmaba el apoyo, ten\u00edan la actitud de escuchar la necesidad, y\u00a0siempre acced\u00edan a mandar la informaci\u00f3n. Sin embargo,\u00a0en la mayor\u00eda de las ocasiones no se cumpl\u00edan los tiempos de entrega.<\/p>\n
El asunto, es que el Blue\u00a0Team, siempre est\u00e1 agobiado con inmensa cantidad de\u00a0incidencias\u00a0de seguridad que atienden y\u00a0a los que\u00a0dan seguimiento.\u00a0Esto es normal para\u00a0ellos,\u00a0ya que est\u00e1n a\u00a0cargo de diversas tecnolog\u00edas de ciberseguridad en una organizaci\u00f3n determinada, y la gran mayor\u00eda de las tareas que realizan, son repetitivas,\u00a0tal\u00a0como recibir la alerta de un evento, verificar que no sea un falso positivo, documentar el evento, validar que no sea un incidente, validar contra algunas herramientas, obtener informaci\u00f3n relacionada al evento, hacer\u00a0bloqueos\u00a0de ciertas\u00a0IP origen o destino, o hacer alg\u00fan ajuste en alguna plataforma de seguridad,\u00a0as\u00ed como\u00a0validar que las acciones fueron efectivas, terminar la documentaci\u00f3n del evento en\u00a0los\u00a0sistemas\u00a0de reporteo y ejecutar las notificaciones correspondientes.<\/p>\n