Escenario: cinco reglas públicas para la misma técnica, elegir y justificar

Ante una campaña activa que abusa de binarios LOLBin (certutil para descarga de artefactos), el cazador encuentra cinco reglas públicas disponibles. Al evaluar el laboratorio, la regla experimental SIG-PROC-101 arroja una tasa de falsos positivos del 4.2% debido a llamadas internas de administración, mientras que SIG-PROC-205 presenta un ratio de FP probado del 0.1% con nivel 'high' y estado 'stable'. La elección rigurosa descansa en la evidencia empírica de pruebas, no en el título de la regla.

Escribe el rule_id de la regla seleccionada con estado estable y baja tasa de falsos positivos.

Lección tras el caso {#leccion}

Las reglas abiertas comunitarias (Sigma, YARA, firmas IDS) son recursos invaluables que aceleran el conocimiento del cazador, pero nunca deben considerarse verdades infalibles listas para producción sin evaluación previa. Toda regla importada debe ser leída, comprendida en su lógica íntima, evaluada en términos de licencias y sometida a pruebas rigurosas de backtesting sobre la telemetría propia del entorno. Quien copia reglas a ciegas solo traslada el ruido y los sesgos de otros a su propio centro de operaciones.