EQL, secuencias de eventos

Una consulta EQL de un solo evento empieza por la categoría y sigue con where y una condición: process where process.name == "powershell.exe". La categoría es la de event.category (proceso, red, archivo, autenticación) y la condición usa campos ECS.

Hay dos operadores de igualdad con una diferencia que importa. == compara exactamente, mayúsculas incluidas; : no distingue mayúsculas y admite comodines. Ejecuta las tres consultas del laboratorio que preguntan por PowerShell, con == y con :, y compara cuántas filas devuelve cada una.

Una secuencia lista los eventos en el orden en que deben ocurrir, cada uno entre corchetes: sequence [ evento A ] [ evento B ]. Con by se exige que todos compartan un valor, como el equipo: sequence by host.name. Con with maxspan=2m se exige que todo ocurra dentro de dos minutos desde el primer evento.

Ejecuta la secuencia de PowerShell lanzado por un procesador de texto seguida de una conexión a una dirección externa, primero con maxspan=2m y después con maxspan=10s. La segunda no devuelve nada, y esa diferencia está en las horas de las dos filas de la primera.

Con with runs=N se pide que un mismo evento se repita N veces seguidas dentro de la secuencia. Sirve para describir una racha: cuatro fallos y después un acierto, sin tener que escribir cuatro corchetes iguales.

Ejecuta la consulta que pide cuatro fallos de autenticación de una misma cuenta, seguidos de un acierto, en menos de dos minutos. Solo una cuenta cumple las dos exigencias a la vez.

Sin by, una secuencia junta eventos de cuentas y equipos distintos, y el resultado se llena de coincidencias que no son una historia. Con by se declara qué dato tienen que compartir los eventos para que sean la misma historia: el equipo, la cuenta o la dirección.

Elegir el campo del by es parte de la regla y se decide con la pregunta de qué entidad vive la secuencia. Una racha de fallos es de una cuenta; un shell y una conexión son de un equipo.

Ejecuta la consulta que pide un fallo de autenticación seguido de un acierto, sin by, sin runs y sin maxspan. Cada par que sale es una secuencia, de dos filas. En el laboratorio la columna secuencia numera los pares.

Esa consulta, como regla, estaría abierta a muchos errores: un error de tecleo seguido de la corrección es también un fallo seguido de un acierto. Contar cuántos pares salen mide el ruido de una regla tan abierta.