Falco en Producción · Lección 27
¿Por qué es importante retener el historial de eventos generados por Falco durante un período de tiempo definido, en vez de solo verlos en el momento en que ocurren?
Permite investigar retrospectivamente un incidente descubierto tiempo después, revisando qué actividad sospechosa había ocurrido previamente en el sistema
Los eventos de Falco se autodestruyen automáticamente después de generarse si no se retienen explícitamente en algún destino
Retener eventos históricos elimina por completo la necesidad de tener reglas de detección activas en el presente
Solo es relevante retenerlos si la organización nunca ha tenido ningún incidente de seguridad previo
Falco en Producción · Lección 27
Completa el código
Se recomienda enviar los eventos hacia un almacenamiento de
Revisa: se recomienda enviarlos hacia un almacenamiento de largo plazo (SIEM, object storage, etc.).
Falco en Producción · Lección 27
¿Por qué un ataque descubierto varias semanas después de haber ocurrido solo puede investigarse completamente si los eventos de Falco de ese período se retuvieron correctamente?
Pista: sin un historial retenido, la evidencia de la actividad sospechosa original ya se habría perdido para siempre, haciendo imposible reconstruir la línea de tiempo completa del ataque semanas después.
✓
¡Lección completada!
Auditoría de eventos de Falco
0
XP ganado
3
Vidas restantes