Sigma, reglas sobre eventos

Una regla Sigma es un archivo de texto con tres ideas. logsource dice de qué registro lee (por ejemplo, la creación de procesos en Windows). detection dice qué campos se miran y qué condición los combina. Y los metadatos (título, nivel, estado) permiten gestionarla. Un ejemplo inventado, no del laboratorio:

title: Ejemplo didactico de proceso desde una carpeta
logsource:
    category: process_creation
    product: windows
detection:
    seleccion:
        Image|endswith: '\ejemplo.exe'
    condition: seleccion
level: medium

Los modificadores, como |endswith o |contains, cambian cómo se compara un campo. La ventaja del formato es que la misma regla se convierte con una herramienta de conversión a la consulta de cada SIEM; el SIEM es el que la ejecuta sobre sus datos. La regla Sigma sola no corre nada. Las reglas de la comunidad se publican bajo la licencia Detection Rule License 1.1: léela antes de reutilizarlas.

Los eventos de la mañana de Valle Claro muestran dos equipos con la misma secuencia: el lector de documentos lanza una consola, y la consola ejecuta un archivo de la carpeta de trabajo de la familia. En el análisis de las muestras el archivo se llamaba de una manera; en el segundo equipo, de otra. La regla SGL-01 busca el nombre del archivo de la muestra.

Filtra los eventos por la carpeta y compara cada línea de órdenes con lo que busca cada regla. Hay un equipo que esa regla no pudo ver.

Una regla puede ir al otro extremo: no mirar el nombre sino una característica tan general que describa a medio parque. La tercera regla de la tabla coincide con cualquier proceso que arranque desde una carpeta compartida de usuarios; es una condición verdadera para la muestra, pero también para el software de etiquetas, el de la balanza y otros programas que viven ahí por comodidad de quien los instaló.

La tabla de la prueba reproduce las tres reglas contra los 18400 eventos de la jornada, con el veredicto de quien los revisó. Ordénala por falsos positivos.

SGL-02 no mira el nombre del archivo ni toda una carpeta: exige tres cosas a la vez, el proceso padre, la consola y la carpeta de trabajo en la línea de órdenes. Describe una cadena de eventos, y por eso cubre el equipo donde el nombre cambió sin tocar a los programas legítimos. Es la forma de regla que más tiempo dura.

Pero tiene un límite que conviene escribir: depende de que la telemetría de creación de procesos llegue al SIEM con la línea de órdenes completa. Si en algún equipo no se registra esa línea, la regla calla sin avisar.