Cuando se descargan muchos archivos de golpe, a menudo es así como salen los datos de la empresa: un empleado que se lleva archivos antes de irse, o un atacante que usa su cuenta. La regla de Sonar «Suspicious downloads» supervisa las descargas en Google Drive, SharePoint y OneDrive. Detecta los días inusuales de cada empleado y pide primero al interesado, y después a su manager, que los expliquen. Solo los casos que se quedan sin explicación llegan hasta vosotros.
👍 Es bueno saberlo: la regla está disponible para todos los clientes de Sonar. Requiere que vuestro workspace haya pasado a las Cyber Missions. Ved Las reglas de Sonar para entender el sistema de reglas.
1️⃣ Cómo funciona la regla
👉 1. Riot supervisa las descargas
Riot observa las descargas de archivos en Google Drive, SharePoint y OneDrive.
👉 2. El empleado lo explica
Cuando se detecta una actividad inusual, se le pregunta al empleado de inmediato: ¿es realmente él quien ha descargado esos archivos?
👉 3. El manager lo valida
Su manager indica si esta descarga corresponde a su trabajo.
👉 4. Los administradores gestionan el resto
Todo lo que queda sin explicación sube a los administradores. La mayoría de las descargas se explican con un clic por parte del empleado y del manager: solo los casos dudosos llegan hasta el equipo de seguridad.
2️⃣ Cómo decide Riot que una descarga es inusual
Riot no se basa en un límite idéntico para toda la empresa. Se combinan dos criterios:
Un umbral por empleado: un día de descargas se compara con los hábitos de esa misma persona durante los últimos 60 días;
El contenido descargado: archivos sensibles, horarios nocturnos, numerosas unidades compartidas.
Un día cargado pero sin nada inusual en lo que se descarga no activa nada.
3️⃣ Activar la regla
💡 Requisito previo: haber iniciado sesión en hub.tryriot.com con una cuenta que tenga acceso de Administrador a Sonar.
👉 Paso 1: iniciad sesión en hub.tryriot.com con vuestra cuenta de Administrador.
👉 Paso 2: abrid el módulo Sonar -> Rules y después la lista de reglas.
👉 Paso 3: haced clic en la regla «Suspicious downloads» y activadla.
4️⃣ Seguir las descargas
Una nueva pestaña Downloads en el Explorer de Sonar muestra la actividad de descargas.
5️⃣ La experiencia del empleado y del manager
Se pregunta al empleado de inmediato, sin esperar a una misión ni al principio de mes: una actividad inusual desencadena la pregunta enseguida.
Indica si es el origen de la descarga.
Su manager dice después si esta descarga corresponde a su trabajo.
Lo que no se explica sube a los administradores.
👍 Es bueno saberlo: es una particularidad de esta regla. En la mayoría de las demás reglas de Sonar, las tareas se agrupan a principios de mes (ved Las reglas de Sonar).
6️⃣ Preguntas frecuentes
👉 ¿Un día de mucho trabajo activará una alerta?
No, por sí solo no. El umbral es propio de cada empleado y Riot también mira lo que se ha descargado: archivos sensibles, horarios nocturnos, numerosas unidades compartidas. Un día cargado pero sin nada inusual no activa nada.
👉 ¿Quién ve los casos que suben?
Responde primero el empleado y después su manager. Los casos que quedan sin explicación llegan a los administradores, que siguen la actividad en la pestaña Downloads del Explorer.
👉 No veo la regla en Sonar. ¿Por qué?
La regla requiere que vuestro workspace haya pasado a las Cyber Missions.
Lo que hay que recordar
La regla «Suspicious downloads» supervisa las descargas en Google Drive, SharePoint y OneDrive.
El umbral se calcula para cada empleado, según sus hábitos de los últimos 60 días, y tiene en cuenta lo que se descarga.
Responde primero el empleado y después su manager. Solo los casos sin explicación llegan a los administradores.
Los administradores siguen la actividad en la pestaña Downloads del Explorer.
La regla está disponible para todos los clientes de Sonar y requiere las Cyber Missions.