Cobertura y estado de las reglas

Cada regla de detección puede declarar la técnica de MITRE ATT&CK® que vigila, y con eso se arma un mapa de cobertura. Pero ese mapa cuenta lo que dicen las reglas, no lo que hacen: una regla apagada o una que falla en su última ejecución aparece igual en el mapa que una que funciona.

La cobertura efectiva cuenta solo las reglas encendidas cuya última ejecución terminó bien. Una ejecución con advertencia corre con datos incompletos y se mide aparte, porque ve menos de lo que su nombre promete. Ejecuta regla_id : * y compara las columnas habilitada y estado_ultima_ejecucion.

Una regla que falla en cada ejecución no genera alertas ni señales de error en el panel de alertas: simplemente no hay alertas. El estado de la regla es lo único que lo dice. Ejecuta estado_ultima_ejecucion : "failed" y lee el motivo.

El motivo apunta a una fuente que dejó de llegar. Es un problema de la canalización de datos, no de la regla; pero arreglar la regla no lo resuelve.

Ejecuta prioridad : "alta": son las cuatro técnicas que la empresa considera más importantes. Para cada una, la columna regla_que_la_cubre dice qué regla dice cubrirla. Con la tabla de estado se comprueba si esa regla está encendida y con su última ejecución bien.

Cuenta las técnicas de prioridad alta que no tienen ninguna regla efectiva: sea porque su regla falla o tiene advertencia, o porque no hay regla.

Un hueco declarado es una técnica que se sabe que no se vigila: está en la lista y no tiene regla. Es mejor que uno que nadie ha mirado, porque se puede priorizar. Ejecuta regla_que_la_cubre : "-": salen dos técnicas sin regla.

De las dos, una es de prioridad alta y la otra no. La que es de prioridad alta se escribe primero.

Hay una regla que falla por una fuente caída, una con advertencia por un campo que falta y una técnica sin regla. No se arreglan al mismo tiempo, y el orden es una decisión que se puede defender. Una fuente caída suele afectar a más de una regla y se resuelve sin escribir nada nuevo: restituye cobertura que ya existe en el papel.