Leer una regla y su nivel

Una regla del servidor tiene un identificador, un nivel de 0 a 15, una descripción y una condición. La condición casi nunca parte de cero: la mayoría de las reglas dependen de otra («si ya saltó la regla padre y además se cumple esto»). Así, una regla genérica reconoce que hubo un inicio de sesión fallido, y otra, hija suya, afina que fue con un usuario inexistente.

Algunas reglas cuentan: si se repite un evento tantas veces en una ventana de segundos, salta una regla de nivel más alto. Esa es la correlación más sencilla que hace el servidor, y se lee en dos columnas: las repeticiones y la ventana. Además, muchas reglas llevan la etiqueta de la técnica de MITRE ATT&CK que describen.

Abre reglas y lee sus columnas.

La cadena de las reglas de acceso remoto es un buen ejemplo. Un intento con usuario inexistente salta con un nivel bajo. Si ese mismo patrón se repite muchas veces en un par de minutos, salta otra regla, hija de la anterior, con un nivel mucho mayor y la descripción de fuerza bruta. El analista que ve la segunda no necesita contar a mano las primeras: el servidor ya las contó.

En la tabla de alertas del martes hay una de esas ráfagas.

Dos umbrales del servidor deciden qué se hace con cada alerta. Uno fija desde qué nivel una alerta se guarda en el archivo de alertas, y por tanto llega al indexador; lo que queda por debajo se evalúa pero no se almacena como alerta. El otro fija desde qué nivel se envía un correo. Con los valores por defecto, casi todo lo que el SOC ve en el panel nunca llega a ser un correo.

Esa decisión es de configuración, no de las reglas, y cambia con cada empresa: un SOC que vive del correo baja el umbral y se ahoga; uno que lo sube demasiado se entera tarde.

El jefe del SOC pregunta cuántas alertas «fuertes» hubo el martes, y por fuertes entiende las de nivel diez o más. Es la primera pregunta de cualquier reunión de turno, y se responde filtrando la tabla por nivel, no a ojo.

En la tabla de alertas hay un inicio de sesión correcto de nivel bajo, el mismo día en que el servidor web recibió una ráfaga de intentos fallidos. Un compañero dice que no hace falta mirar el de nivel bajo porque «es solo un éxito». El nivel de una regla clasifica el tipo de evento que describe, no cuánto importa el caso.