Casos de uso SIEM de Correo Seguro
La salida SIEM es Enterprise y se habilita para Correo Seguro de forma independiente. El destino puede compartirse con otros productos, pero cada suscripción mantiene su propio alcance y estado.
Casos recomendados
| Caso | Señal | Respuesta |
|---|---|---|
| Debilitamiento DMARC | Cambio de reject a una política menos restrictiva o menor cobertura. | Validar cambio y restaurar sólo con autorización. |
| Fallo DKIM | Selector ausente, inválido o cambio inesperado confirmado. | Revisar proveedor, DNS y ventana de rotación. |
| SPF riesgoso | Error, más de 10 consultas, múltiples registros o +all. | Inventariar fuentes y corregir publicación. |
| Degradación TLS | Policy MTA-STS inválida o aumento de fallos TLS-RPT. | Validar MX, certificado y endpoint. |
| Amenaza de correo | Phishing/BEC/malware o IOC con severidad alta, si el módulo está licenciado. | Triage, contención y búsqueda retrospectiva. |
Calidad de la regla
- Usá tenant, dominio, recurso y event ID para deduplicar.
- Separá ausencia de datos de un PASS.
- Agrupá flapping DNS y exigí observaciones consecutivas salvo cambios críticos.
- Conservá fecha de evidencia, fuente, severidad y acción recomendada.