Reglas de detección y su lectura

Una regla de detección de Elastic Security busca en los eventos con una consulta y, si encuentra lo que dice, crea una alerta. El tipo de regla decide cómo busca. La documentación de Elastic distingue, entre otros: consulta personalizada (un filtro KQL), correlación de eventos (una consulta EQL, con secuencias), umbral (cuenta eventos por un campo y salta al llegar a un número), nuevos términos (salta cuando aparece un valor que no se había visto en un periodo) y coincidencia de indicadores (cruza los eventos con una lista de indicadores).

Elegir el tipo es elegir qué hace falta para que algo sea sospechoso: un solo evento, una cantidad, una secuencia o una novedad.

Ejecuta regla_id : * en el laboratorio. Los nombres, los ids y los valores de las cinco reglas son inventados. Mira la columna tipo antes que el nombre.

La regla de umbral tiene tres piezas. La consulta dice qué eventos entran en la cuenta. El campo dice por qué se agrupa: la cuenta se lleva por separado para cada valor de ese campo. Y el número dice cuántos hacen falta. Una regla que cuenta fallos por cuenta y otra que cuenta fallos por dirección ven cosas distintas con los mismos eventos.

En la tabla reglas, la columna umbral guarda el campo y el número de la regla de fallos repetidos.

Ejecuta kibana.alert.rule.name : *: son las tres alertas del día, y ninguna es de fallos de inicio de sesión. Pero la mañana tuvo una racha de fallos desde una misma dirección. Antes de concluir que la regla falló, hay que ejecutar su consulta acotada a esa dirección (event.category : "authentication" and event.outcome : "failure" and source.ip : "198.51.100.77") y contrastar lo que ve con lo que exige.

Una regla puede no saltar por tres razones: estar apagada, no encajar con los eventos o no llegar a su umbral. Se descartan una a una con la tabla de reglas y con los eventos.

Una regla apagada no genera alertas, y en el panel de alertas no se nota: no hay un hueco rojo donde faltan alertas. Hay que mirar la lista de reglas. Ejecuta habilitada : "no" y lee la regla que quedó así.

Es la regla de correlación que uniría el shell lanzado por una aplicación de ofimática con una conexión de red: justo la historia que la sala anterior armó a mano.

La alerta de severidad alta de la regla de consola de ofimática salió en dos equipos. Una sigue abierta y la otra se cerró con una nota. Una alerta cerrada sin nota no se puede auditar; con nota se puede comprobar, y la nota apunta a un papel (una solicitud) que está fuera de Elastic.

Ejecuta kibana.alert.rule.name : * y lee la columna nota_de_cierre de las alertas de esa regla.