Gobierno y bloqueos
Nada toca un sistema sin política. Quien pide no aprueba.
1 · Proponeranálisis, persona o Teams
2 · Políticaobjetivo, intocables, ventanas
3 · Aprobaciones6 esperando
4 · Ejecutarejecutor aislado
5 · Verificarrelectura del sistema
6 · Caducar14 con caducidad
7 · Revertiracción inversa
Impacto críticoWazuhACC-0318
Aislar equipo pc-fin-014
Pedida por L. Paredes hace 9 min · ofensa #884 · «PowerShell codificado descargando desde dominio en inteligencia»
Aprobaciones
AR?
1 de 2 · falta un administrador
Qué decidió la política
| ✓ | Objetivo válido | Equipo con agente Wazuh activo |
| i | Impacto según PRTG | pc-fin-014: 9 sensores en PRTG, ahora arriba · sin servicios vigilados · informa, no bloquea |
| ✓ | Intocables | No figura en la lista ni está marcado en el inventario |
| ! | Aprobaciones | Impacto crítico: 2 aprobaciones, una de administrador |
| ✓ | Ventana de mantenimiento | Fuera de ventana |
| ✓ | Límite por hora | 0 de 5 acciones automáticas en Wazuh |
Con modo simulación, quedará «simulada» sin tocar el equipo
| Acción | Objetivo | Impacto | Origen | Pidió | Aprobaciones | |
|---|---|---|---|---|---|---|
Bloquear IP en el firewall Sophos XGS · ofensa #887 | 45.148.10.238 | Medio | Playbook | — | 0 de 1 | |
Bloquear IP en el firewall Sophos XGS · ofensa #885 | 91.92.251.103 | Medio | Microsoft Teams | JC | 0 de 1 | |
Desconectar cliente de la Wi-Fi Aruba · sin ofensa | a4:83:e7:1c:22:9f | Medio | A mano | AR | 0 de 1 | |
Pausar monitorización en PRTG Previsto 2 h · propuesta junto al aislamiento ACC-0318 · exige credencial con escritura | pc-fin-014 | Bajo | Asistente | — | 0 de 1 | |
Desbloquear IP en el firewall Reversión por caducidad · también la bloqueó el IOC | 185.220.101.44 | Bajo | Planificador | — | 0 de 1 |
| Acción | Objetivo | Aplicada | Verificación | Caduca | |
|---|---|---|---|---|---|
| Bloqueo en firewall | 193.32.162.71 | 03/10 · M. Cajamarca + A. Rivas | Verificada en la regla | en 31 h | |
| Bloqueo en firewall | 45.155.205.12 | 01/10 · automática | Verificada en la regla | en 3 días | |
| Aislar equipo | pc-rrhh-007 | 30/09 · L. Paredes + J. Calderón | Sin verificación plena | no caduca | |
| Revocar llave SSH | centos-dev · deploy@ | 28/09 · A. Rivas + M. Cajamarca | Línea comentada | no caduca |
La tarea «Reversión de acciones caducadas» corre cada 15 min · última hace 6 min
Lo que ninguna acción toca
| Objetivo | Tipo | Alcance | Motivo | Declaró |
|---|---|---|---|---|
| 10.20.1.10 · srv-ad01 | Equipo | Nunca, ni a mano | Controlador de dominio | J. Calderón |
| 10.20.0.5 | IP | Nunca, ni a mano | QRadar: infraestructura de ARGOS | sugerido |
| 10.20.9.0/24 | Rango | Nunca de forma automática | Red de dispositivos médicos | J. Calderón |
| gerencia@tecsinfo.com | Usuario | Nunca de forma automática | Identidad VIP | J. Calderón |
Reglas
Respetar ventanas de mantenimiento
Lo automático sobre un activo en su ventana pasa a una persona
Doble aprobación sobre activos críticos
También identidades privilegiadas y VIP
Ejecutar sin esperar (acciones automáticas)
Encenderlo exige la aprobación de otro administrador
Modo simulación
Encender es inmediato; apagar se propone
Umbrales
Cada cambio queda en la auditoría con su valor anterior.
| Fecha | Acción | Objetivo | Estado | Pidió | Aprobó | Canal |
|---|---|---|---|---|---|---|
| 05/10 19:02 | Bloquear IP en firewall | 193.32.162.71 | Aplicada | M. Cajamarca | A. Rivas | Teams |
| 05/10 17:40 | Bloquear IP en firewall | 10.20.6.33 | Bloqueada por política | Asistente | — | Análisis |
| 05/10 15:11 | Bloquear IP en firewall | 45.155.205.12 | Simulada | Playbook | L. Paredes | Web |
| 04/10 23:18 | Desbloquear IP en firewall | 80.94.95.115 | Revertida | Planificador | automática | — |
| 04/10 11:52 | Terminar proceso | centos-dev · PID 48211 | Falló | A. Rivas | M. Cajamarca | Web |
| 03/10 09:30 | Desconectar cliente Wi-Fi | 3e:11:7a:… | Rechazada | L. Paredes | J. Calderón | Web |