Alertas y detección de desviaciones

Principio rector en toda esta sección: una lista de alertas en la que nadie confía es peor que no tener alertas. Así que la cantidad de reglas se mantiene baja, y los eventos solo ocurren cuando el estado cambia — un disco atascado en 91% durante una semana es un evento, no diez mil.

Tres tipos de eventos

Tipo	Cuándo se dispara
threshold	Una métrica de recursos supera un umbral que configuraste.
drift	Cambió una configuración relacionada con seguridad desde el sondeo anterior.
reachability	La VM dejó de responder, o volvió a responder.

Cada evento tiene nivel info, advertencia o crítico, además de un título breve y una descripción detallada.

Umbrales de recursos

Se configuran en Configuración. Cuatro umbrales: advertencia de disco, disco crítico, RAM y CPU.

El disco alerta de inmediato al superarse. La RAM y la CPU deben superarse durante varios sondeos antes de alertar — un pico de CPU que dura un minuto durante una copia de seguridad no amerita despertar a nadie.

Pronóstico de llenado de disco

Los umbrales estáticos dicen muy poco sobre la urgencia. Un 80% que no se ha movido en un año no necesita la atención de nadie; un 60% que subió diez puntos esta semana necesita que alguien actúe hoy.

La aplicación ajusta una regresión lineal con los últimos siete días de datos de cada punto de montaje y extrapola cuándo se llenará. El resultado se muestra como “quedan unos N días”.

Esta extrapolación se niega a responder en lugar de adivinar, cuando:

• hay menos de 6 muestras o los datos abarcan menos de 6 horas;
• la tendencia es plana o decreciente (el punto de montaje se está liberando);
• el resultado está más allá de 365 días — “eventualmente se llenará” no es noticia.

Los pronósticos se recalculan como máximo cada hora por VM, ya que deben leer una semana de historial.

El modelo asume que la tasa de crecimiento se mantiene constante. Es incorrecto para la rotación de registros y incorrecto para bases de datos que se duplican de la noche a la mañana. Léelo como un indicador de prioridad, no como una promesa.

Detección de desviaciones

Se comparan cuatro elementos con el sondeo anterior. Estas son las huellas reales que deja un atacante:

Elemento	Cambios detectados
keys	authorized_keys — claves SSH añadidas o eliminadas
users	/etc/passwd — cuentas nuevas, cambios de shell
ports	Puertos en escucha — nuevos servicios expuestos hacia afuera
sudoers	/etc/sudoers y /etc/sudoers.d/*

La mayoría de los cambios son legítimos: un colega añade su clave, se despliega un nuevo servicio. El valor está en saber que ocurrió y cuándo — en lugar de descubrirlo seis meses después.

Revisión de inicios de sesión SSH

Cuando la cuenta de sondeo puede leer el registro de autenticación, la aplicación resume:

• Inicios de sesión exitosos — usuario, IP, método, marca de tiempo.
• Fallidos por IP — clasificados por cantidad, de mayor a menor.
• IPs bloqueadas — leídas de fail2ban si está presente.
• Redes habituales — subredes desde las que cada usuario suele iniciar sesión.

“Redes habituales” es la parte más útil aquí: un inicio de sesión exitoso desde una subred desconocida destaca mucho más que miles de fallos desde Internet — los fallos son normales para cualquier servidor expuesto a la red.

Los inicios de sesión fuera del horario laboral se marcan, pero no se convierten en alertas por sí solos. Mucho trabajo legítimo ocurre por la noche.

Confirmar alertas

El centro de alertas lista los eventos con los más recientes primero. Márcalos como confirmados de uno en uno o todos a la vez; el contador de la barra de estado solo muestra los no confirmados.

Los eventos nunca se eliminan al confirmarlos, y no se eliminan por la retención de 14 días de los datos de métricas — se conservan a largo plazo y alimentan los informes mensuales.

Notificaciones del sistema

Los eventos de nivel crítico envían una notificación del sistema operativo para que los veas incluso si la ventana de la aplicación está oculta. Actívalas o desactívalas en la configuración de notificaciones de tu propio sistema operativo.