Una regla es código

Una regla escrita a mano en la interfaz web del SIEM existe en un solo sitio y su historia es lo que alguien recuerde: quién la cambió, por qué y qué había antes. Cuando falla a las tres de la mañana, nadie puede decir qué cambió desde ayer.

La detección como código trata la regla como se trata el software: un archivo de texto con formato fijo, guardado en un repositorio, que se publica al SIEM desde ahí. No es una moda de herramientas. Es lo que hace posible las otras cuatro cosas de este módulo: versionar, revisar, probar y retirar con orden.

Una regla en formato Sigma trae unos campos de primer nivel. title y description dicen qué es. id la identifica para siempre. status dice en qué punto de su vida está y level qué tan grave es lo que encuentra. tags la etiqueta con técnicas de ATT&CK. logsource dice de dónde leen los eventos y detection es la lógica: unas selecciones con nombre y una condition que las combina. falsepositives lista lo que se sabe que la hace saltar sin que haya ataque.

Dentro de detection, los filtros con nombre son lo que la regla deja pasar. Leer una regla es, en buena parte, leer qué excluye y quién escribió esa exclusión.

En cada cambio corre una comprobación automática: que el archivo sea válido, que tenga el id, que traiga los campos que el equipo exige. Es barata y no se cansa, y por eso no se le deja nada que una máquina pueda decidir.

Pero solo mira la forma. Un archivo puede estar impecable y detectar mal, o no detectar nada. Que la comprobación esté en verde dice que el archivo se puede leer, no que la regla sirva.

El id es un identificador único que la especificación de Sigma pide en forma de UUID. Sirve para que todos se refieran a la misma regla aunque se renombre el archivo, se corrija el título o se traduzca la descripción. El equipo de Pacandé, además, usa un código corto (DAC-104) en tickets y conversaciones.

Si el identificador cambiara con cada retoque, el historial de una regla quedaría partido en trozos que nadie sabría unir.

El repositorio guarda el estado de cada regla en status. Dos de ellas están en el primer escalón, el de las reglas que aún no alertan a nadie, y una de las dos es la que más urgencia tiene en la lista del comité de riesgo por la gravedad de lo que busca.