Escribir la regla en un formato portable

Una regla de detección es más útil cuanto menos dependa de una herramienta concreta. Escribirla en un formato portable y legible —Sigma es el estándar abierto más extendido para esto— permite que la misma descripción de la conducta se revise como texto, se guarde con el resto del código, y se traduzca a cualquier pila del SOC. Una regla atada a un solo producto hay que reescribirla entera el día que cambia la herramienta; una regla portable se traduce.

El formato no es un capricho de orden: es lo que convierte una detección en algo que un equipo puede mantener. Una regla que solo vive dentro de una herramienta no se puede revisar entre varios ni llevarse cuando el entorno cambia.

Una regla en este formato tiene partes claras: de dónde salen los datos (la fuente, por ejemplo la creación de procesos del punto final), qué se busca dentro de ellos (las condiciones concretas: un proceso padre, una ruta, un tipo de acción), y cómo se combinan esas condiciones para disparar (la condición lógica). Separar «de dónde», «qué» y «cuándo dispara» hace la regla legible y comprobable: cualquiera entiende qué mira y qué la activaría.

Esa estructura también obliga a pensar con orden: primero qué fuente contiene la huella (lo que viste en el módulo de telemetría), luego qué rasgos de la conducta la describen, y por último qué combinación de rasgos separa el ataque del ruido.

La parte que decide si la regla sirve mañana es la condición, y el error es llenarla con los valores exactos del hallazgo: este hash, esta dirección, este nombre de tarea. Esa regla atrapa el caso de ayer y falla con el siguiente. La condición que aguanta describe la conducta —«un proceso de creación de tareas cuyo ejecutable está en una carpeta temporal del perfil y lanza un intérprete»— rasgos que el adversario no puede cambiar sin rediseñar su forma de operar.

Es la pirámide del dolor escrita en la regla: anclar la condición a un valor del fondo de la pirámide la hace frágil; anclarla a la conducta de la cima la hace durable. El formato no garantiza una buena condición; eso lo pone el cazador.

Al ser texto, la regla vive donde vive el código: se guarda, se versiona, se revisa entre varios y evoluciona con cada caza. Si una campaña nueva enseña un matiz, la regla se ajusta y queda registro de qué cambió y por qué. Esto convierte las detecciones del equipo en un activo que crece: no reglas sueltas en la cabeza de quien las escribió, sino un cuerpo compartido que cualquiera puede leer, mejorar y heredar.

Una regla que no está escrita como texto compartible se pierde cuando su autor se va o cambia de herramienta. El formato portable es también memoria del equipo: lo que se cazó y cómo se detecta, guardado para quien venga después.

Abre el laboratorio de la regla portable. La caza de persistencia produjo un hallazgo, y el equipo dejó dos borradores de la regla en formato Sigma. Uno ancla la condición a los valores exactos del hallazgo —el nombre de la tarea y la ruta concreta— y se queda ciego con el siguiente caso. El otro describe la conducta —una tarea que lanza un intérprete desde una carpeta temporal del perfil— y aguanta aunque cambien los valores. Aísla el borrador que describe la conducta y lee su ficha hasta el final.