Evaluar una regla pública antes de activarla

2 tareas · 40 min · Principiante

0 de 2 · 0%

Antes de promover una regla abierta a producción o utilizarla en una hipótesis de caza activa, se debe someter a una prueba de estrés contra la telemetría histórica del entorno (backtesting). Se miden tres factores: 1) Frecuencia de disparo sobre actividad normal previa, 2) Costo computacional de la consulta (consumo de CPU/memoria en el SIEM), y 3) Resiliencia ante variaciones del adversario (¿basta cambiar un nombre de archivo para evadirla?).

Responde para continuar

¿Cuál es el procedimiento obligatorio antes de desplegar una regla comunitaria en el pipeline de alertas continuas?

Desactivar las fuentes de registro que generen más de cinco eventos por minuto Configurar el sistema para enviar un mensaje SMS al director general por cada coincidencia de la regla Ejecutar backtesting sobre la telemetría histórica del parque para cuantificar el volumen real de falsos positivos Aumentar inmediatamente la severidad de la regla a nivel crítico sin realizar pruebas previas

Ver pista de ayuda

El backtesting histórico revela si la regla saturará al equipo o si es viable.

Consulta en la tabla sigma_rules el nivel (columna level) asignado a la regla SIG-PROC-205.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el nivel (level) registrado para la regla SIG-PROC-205?

Ver pista de ayuda

Observa el valor de la columna level en la segunda fila.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Repositorio y Evaluador de Reglas de Detección · Sigma & YARA Catalog

Sigma Engine (pySigma) / YARA Rule Verifier

Tablas

sigma_rules

rule_id
title
status
level
target_logsource
fp_rate_tested
license

yara_signatures

signature_id
rule_name
scope
strings_count
performance_cost

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Protocolo de prueba contra telemetría histórica

2 Nivel de severidad de la regla Certutil Lab

Whoami-Labs Pro utiliza cookies