Lectura de resultados
Stoik Email Security supervisa tus buzones en busca de dos tipos de amenazas: correos electrónicos sospechosos y cuentas comprometidas. Todas las amenazas detectadas se enumeran en Stoik Protect y son revisadas por el Stoik SOC.
Amenazas de correo electrónico
Las amenazas de correo electrónico son correos sospechosos o maliciosos detectados en tus buzones, de dos tipos:
Fraude: intentos de fraude financiero, como fraude de factura o suplantación de un contacto conocido.
Phishing: correos electrónicos que enlazan a una página que suplanta a una marca conocida para robar credenciales.
Se enumeran en la Correos electrónicos sospechosos pantalla, bajo Email Security en la barra lateral.
Cada fila de la tabla muestra:
Asunto: la línea de asunto del correo electrónico
Criticidad: Baja, Media, Alta o Crítica
Usuario protegido: el buzón que recibió o envió el correo electrónico
Fecha de detección: cuándo se recibió el correo electrónico
Estado: Abierto o Cerrado
Validez : Indefinida, Falso positivo o Verdadero positivo
Acciones : Ninguna, Banner y/o Cuarentena
Haz clic en cualquier amenaza de correo electrónico para abrir una página completa con todos los detalles.
Información de alerta
La sección Información muestra los metadatos del correo electrónico marcado:
Fecha de detección -- cuándo se recibió el correo electrónico
Usuario protegido -- el buzón que recibió o envió el correo electrónico
Tráfico -- entrante o saliente
Buzón -- Microsoft 365 o Google Workspace
Tipo -- el tipo de amenaza: Fraude o Phishing
Motivos -- los motivos por los que se marcó el correo electrónico (p. ej., suplantación de usuario, información bancaria sospechosa)
Acciones -- las acciones realizadas por el SOC (p. ej., correo electrónico movido a cuarentena, banner de advertencia añadido)
Estado -- si la amenaza está Abierta o Cerrada
Validez -- Verdadero positivo o Falso positivo
Veredicto
Un banner de color en la parte superior resume la evaluación general. El color del banner y el encabezado coinciden con la criticidad de la alerta:
Crítica
Se detectó un intento de fraude crítico
Alta
Se detectó un intento de fraude de alto riesgo
Media
Se detectó actividad sospechosa
Baja
Se detectaron anomalías menores
Un breve resumen debajo del encabezado proporciona contexto adicional. Las alertas de Email Security son gestionadas por el Stoik SOC: no se requiere ninguna acción por tu parte.
Información del atacante
La sección Atacante está cerrada de forma predeterminada; cuando se abre, muestra información sobre el remitente, como:
Nombre del remitente
Dominio del remitente
Dirección de correo electrónico del remitente
Actividad
La sección Actividad es una cronología en orden cronológico inverso de todo lo que ha ocurrido con una alerta. Cada entrada incluye su fecha y hora. El evento más reciente aparece primero.
Gestión de la alerta
Creación de la alerta
Cuando se recibió originalmente el correo electrónico.
Confirmación de la alerta
Cuando la alerta fue ingerida y confirmada en el sistema Stoik.
Procesamiento de la alerta
Cuando un analista del SOC comenzó a investigar la alerta.
Cierre de la alerta
Cuando la alerta se resolvió y se cerró.
Creación de la alerta y Confirmación de la alerta aparezcan siempre. Procesamiento de la alerta y Cierre de la alerta aparecen a medida que la alerta avanza.
Acciones del SOC y actualizaciones de la alerta
La cronología registra las acciones realizadas por el SOC. Estas incluyen añadir un banner de advertencia y mover un correo electrónico a cuarentena.
También registra actualizaciones de la alerta. Por ejemplo, la validez puede cambiar de Indefinida a Verdadero positivo o Falso positivo.
Comprobaciones de señales
Aparecen tres comprobaciones de señales en la cronología. Cada comprobación muestra un punto de color:
Se encontró un problema
Se detectó una anomalía
La comprobación se superó
Identidad del remitente
Verifica si el remitente está suplantando a un contacto conocido de tu organización.
Historial de comunicación
Verifica si este remitente se ha comunicado previamente con tu organización.
Reputación del remitente
Comprueba el dominio y la dirección de correo electrónico del remitente frente a bases de datos de amenazas conocidas.
Intercambios de correos electrónicos
La cronología incluye correos electrónicos intercambiados entre Stoïk y tu organización. Estas entradas muestran cómo se comunicó y resolvió la alerta.
Notas del analista
Algunas alertas incluyen notas del analista escritas por el Stoik SOC. Estas notas proporcionan contexto adicional sobre cómo se investigó y resolvió la alerta.
No todas las alertas tienen notas del analista; se añaden cuando el equipo SOC considera que el contexto adicional es relevante.
Contenido del correo electrónico
La sección Contenido del correo electrónico integra el correo electrónico original marcado directamente en el panel lateral, para que puedas ver exactamente qué llegó a la bandeja de entrada y entender el veredicto en contexto.
Incluye:
Remitentes la(s) dirección(es) desde la(s) que se envió el correo electrónico
Destinatarios el/los buzón(es) al que se envió el correo electrónico
Asunto la línea de asunto del correo electrónico
Fecha de envío cuándo se envió el correo electrónico
Banner de advertencia cuando lo añade el Stoik SOC, el banner que se muestra a los usuarios finales en la parte superior del correo electrónico
Cuerpo el contenido completo del correo electrónico, con el formato, las imágenes y los enlaces originales
Haz clic en Expandir para abrir el correo electrónico en una ventana emergente más grande y leerlo con mayor facilidad.
Si el correo electrónico contiene archivos adjuntos, se enumeran en una sección de Archivos adjuntos a continuación. Stoïk analiza los archivos adjuntos (como los PDF) en busca de indicadores de phishing y fraude, por ejemplo enlaces incrustados o IBAN, pero no analiza su contenido en busca de malware. Por tanto, no se garantiza que los archivos descargados estén libres de malware: la protección contra archivos maliciosos depende de la solución de seguridad instalada en tus dispositivos.
Cuentas comprometidas
Las cuentas comprometidas son buzones que muestran indicios de acceso no autorizado o actividad sospechosa. Se enumeran en la Cuentas comprometidas pantalla, bajo Email Security en la barra lateral.
Cada fila incluye una columna Señales detectadas que enumera las señales detrás de la alerta, agrupadas por tipo con su número de ocurrencias (p. ej., 3 viajes imposibles · 2 comportamientos anómalos).
Haz clic en cualquier cuenta comprometida para abrir una pantalla completa con todos los detalles.
Información de alerta
La sección Información muestra:
Fecha de detección: cuándo se detectó el compromiso
Estado: si la alerta está Abierta o Cerrada
Validez: Verdadero positivo o Falso positivo
Usuario protegido: el buzón que fue objetivo
Acciones : Ninguna, restablecimiento de MFA, restablecimiento de contraseña, etc.
Criticidad: Baja, Media, Alta o Crítica
Perfil del usuario
Una línea base de lo que es normal para este usuario, calculada a partir de las últimas 13 semanas de su actividad de inicio de sesión. Úsala como punto de referencia al leer la cronología a continuación.
Ubicación habitual
Los principales países desde los que este usuario inicia sesión (con la proporción de inicios de sesión de cada uno).
Dispositivo habitual
El sistema operativo y el navegador que el usuario suele usar.
Patrón habitual de inicio de sesión
Un mapa de calor semanal que muestra cuándo el usuario suele estar activo.
Uso de VPN
Con qué frecuencia este usuario inicia sesión a través de una VPN.
Volumen de correo electrónico
Cuántos correos electrónicos envía este usuario al día, de media, con su pico histórico.
Cobertura
El número de inicios de sesión a partir del cual se calcula la línea base.
Actividad
La sección Actividad es una cronología en orden cronológico inverso de las señales que desencadenaron la alerta y las acciones realizadas por el Stoik SOC. Los eventos se agrupan por día. Cada entrada muestra la hora, un icono y una breve explicación.
Señales detectadas
La cronología muestra las señales que llevaron a la alerta:
Viaje imposible detectado: dos inicios de sesión demasiado alejados entre sí dado el tiempo transcurrido entre ellos.
Inicio de sesión desde un país de alto riesgo: inicio de sesión desde un país marcado en nuestra base de datos de amenazas.
Inicio de sesión desde una ubicación / red / dispositivo / navegador inusual: el usuario inició sesión desde un contexto que no suele usar.
Inicio de sesión en un momento inusual: inicio de sesión fuera del horario laboral normal del usuario.
Acceso automatizado detectado: inicio de sesión procedente de un navegador sin interfaz o una herramienta de automatización.
Acceso sospechoso a aplicaciones: acceso desde una herramienta que los atacantes suelen usar (p. ej., Graph Explorer, Azure CLI).
Se detectó un volumen elevado de correo electrónico: el usuario envió muchos más correos electrónicos de lo habitual en 24 horas.
Se creó una regla sospechosa en la bandeja de entrada: se creó una regla en el buzón que elimina, reenvía o oculta mensajes automáticamente.
Se añadió o eliminó un método de autenticación: se cambió un método de MFA en la cuenta.
Inicio de sesión desde una IP maliciosa conocida: inicio de sesión desde una IP incluida en nuestro feed de amenazas.
VPN utilizada: inicio de sesión a través de VPN, en un usuario que rara vez la usa.
Sesión reutilizada entre dispositivos: el mismo ID de sesión apareció en dos combinaciones distintas de SO/navegador.
Microsoft Entra marcó alto riesgo: la propia protección de identidades de Microsoft generó una alerta.
Intento de MFA fallido: falló un desafío de MFA.
Acciones del SOC
El Stoik SOC puede tomar las siguientes acciones para contener una cuenta comprometida:
Restablecer contraseña — forzar una nueva contraseña temporal. El usuario debe cambiarla en el siguiente inicio de sesión.
Restablecer sesión — revocar todas las sesiones de inicio de sesión activas. Todos los dispositivos deben volver a autenticarse.
Eliminar reglas de la bandeja de entrada — eliminar una regla específica del buzón, como una regla de reenvío o de borrado automático.
Eliminar aplicaciones — revocar una asignación específica de aplicación del usuario.
Eliminar método de MFA — eliminar un método de autenticación específico.
Eliminar dispositivo — eliminar permanentemente un dispositivo que el usuario posee o ha registrado.
Gestión de la alerta
La cronología también registra cómo se gestionó la alerta:
Creación de la alerta
Cuando se detectó el compromiso.
Confirmación de la alerta
Cuando la alerta fue ingerida y confirmada en el sistema Stoik.
Procesamiento de la alerta
Cuando un analista del SOC comenzó a investigar la alerta.
Cierre de la alerta
Cuando la alerta se resolvió y se cerró.
Creación de la alerta y Confirmación de la alerta aparezcan siempre. Procesamiento de la alerta y Cierre de la alerta aparecen a medida que la alerta avanza.
Notas del analista
Algunas alertas incluyen notas del analista escritas por el Stoik SOC. Estas notas proporcionan contexto adicional sobre cómo se investigó y resolvió la alerta.
No todas las alertas tienen notas del analista; se añaden cuando el equipo SOC considera que el contexto adicional es relevante.
Intercambio de correos electrónicos
Algunas alertas incluyen intercambios de correos electrónicos relacionados con la gestión de la alerta. Cuando están disponibles, estas comunicaciones se muestran en el panel lateral, ofreciéndote el contexto completo de cómo se comunicó y resolvió la alerta.
Esta sección solo aparece cuando hay correos electrónicos relacionados
Última actualización
¿Te fue útil?