Ingeniería de Detección

Qué distingue una detección de una alerta suelta y por qué etapas pasa: hipótesis, requisitos de datos, lógica, prueba, despliegue, afinado y retiro. Qué datos exige una hipótesis antes de escribirla, qué lleva la ficha que permite heredarla, cómo se mide un catálogo entero contra el presupuesto de revisión del turno y cómo entra, se afina y sale una regla. Cierra con un escenario sin paso a paso: el catálogo que hereda el único ingeniero de una cooperativa financiera.

La fuente de datos de la que casi toda detección de Windows depende: los eventos de Seguridad, procesos, cuentas, servicios, PowerShell y Sysmon. Se comparte con el camino de Analista SOC: se estudia una vez y cuenta en los dos. Desde la ingeniería interesa qué eventos hay que tener encendidos para poder detectar algo y qué se pierde cuando no lo están.

Buscar, filtrar y correlacionar eventos de muchas máquinas en KQL. Se comparte con el camino de Analista SOC. Es el lenguaje con el que se escribe y se prueba la mayoría de las detecciones.

El segundo lenguaje de SIEM y la regla escrita una sola vez en Sigma, un formato neutral que se traduce a cada SIEM. Se comparte con el camino de Analista SOC. Es la base de la detección como código.

La otra mitad del parque: el registro de autenticación de Linux, la escalada por sudo, la auditoría del núcleo, la persistencia por systemd y cron, y los registros de actividad e identidad de la nube. Se comparte con el camino de Analista SOC.

Por qué el mismo hecho llega con nombres, horas y valores distintos según la fuente y qué resuelve un esquema común. Se comparan dos esquemas, el Elastic Common Schema y el modelo de información de seguridad avanzado de Microsoft Sentinel (ASIM): cómo organizan los campos, qué exigen en todo evento y qué solo recomiendan. Se lee una tabla de mapeo, se valida un lote contra campos obligatorios, tipos y cardinalidad, y se mide qué se pierde al normalizar y a qué reglas les cuesta. Todo es lectura de eventos crudos y normalizados ficticios. Cierra con un escenario sin paso a paso: el mapeo que dejó escrito un contratista en un hospital, que hay que revisar antes de aprobarlo.

Cómo entra el dato al SIEM y qué se rompe por el camino: agentes, reenvío, API y carga de archivo; texto, JSON, CEF y syslog; el parser que convierte una línea en campos y lo que hace con la que no entiende; marcas de tiempo y zonas horarias; retraso, volumen y costo frente a las ventanas de las reglas; y la deriva cuando una fuente cambia su formato sin avisar. Todo se lee sobre eventos, parsers y tablas ficticios, sin ejecutar nada. Cierra con un escenario sin paso a paso: el tablero de ingesta de una distribuidora.

Tratar las detecciones como software: la regla como archivo con historial en un repositorio, la lectura de una regla Sigma por quien la mantiene, la revisión de un cambio con su diferencia y sus pruebas, los casos positivos y negativos con eventos de ejemplo, el flujo de integración continua y la publicación por etapas, y la trazabilidad entre regla, ticket y técnica. Cierra con un escenario sin paso a paso: el repositorio de una empresa de transporte fluvial con cinco solicitudes abiertas.

Un examen práctico de unas cuatro horas sobre una organización que no has visto, sin decir dónde mirar. Una fuente de acceso remoto recién encendida: lees sus líneas crudas y lo que el parser sacó de ellas (marcas de hora y zonas, líneas perdidas, cambios de formato), validas su mapeo contra un esquema común (valores sin traducir, campos obligatorios, tipos y lo que se pierde al normalizar), revisas una regla escrita en Sigma y su traducción a KQL con la diferencia de la solicitud que la corrige, y dictaminas con su corrida de pruebas, su ficha y el estado de su despliegue. Solo evalúa lo aprendido hasta detección como código. Todo es lectura de tablas y evidencia ficticias; abierto, da la credencial intermedia del camino.

Medir qué técnicas de ATT&CK tiene cubiertas un catálogo y con qué calidad: cobertura no es número de reglas, es una regla activa, con la fuente llegando y una prueba aprobada. Qué fuente, campos, equipos y días de retención pide cada técnica, cómo se pinta el mapa por grados frente a la capa que sale de la lista de reglas, de qué causa es cada hueco y quién puede cerrarlo, y cómo se ordenan los huecos por amenaza relevante y días de trabajo para decidir qué detección se construye primero. Cierra con un escenario sin paso a paso: la cartera de una cementera con diez días.

Cuándo varios eventos dicen lo que ninguno dice solo: umbral por ventana (tramo fijo o deslizante), secuencia con clave y tiempo máximo, agregación por entidad y unión de fuentes con sus retrasos y claves. A nivel conceptual, el comportamiento de cuentas contra su propia historia y contra sus pares, la puntuación de riesgo con tope por señal y la ventana que se elige. Y cuándo correlacionar solo suma ruido: se mide contra la regla simple de origen. Cierra con un escenario sin paso a paso en una clínica.

Qué se mide de una cartera de detecciones y cómo se calcula sin engañarse: precisión, sensibilidad, tasa de falsos positivos, tiempo de revisión y antigüedad, con las sumas de la cartera y no el promedio de los porcentajes. Cómo se deteriora una regla sin tocarla cuando su fuente cambia un campo o una zona horaria, cómo se gobierna el registro de excepciones con su caducidad, cuándo se revisa y cuándo se retira una regla, y cómo se escribe el informe de calidad que lee el responsable del SOC. Cierra con un escenario sin paso a paso: el trimestre de una aseguradora que se pasó del presupuesto de revisión.

Cómo se comprueba que una detección funciona sin atacar a nadie: conjuntos de eventos de ejemplo con casos positivos, negativos y casi-positivos; datos sintéticos y reproducciones registradas, con sus límites y su integridad; la lectura de una prueba autorizada en un banco aislado desde lo que deja escrito (qué eventos debían aparecer, cuáles llegaron y si la regla saltó); criterios de aceptación fijados antes de probar y regresiones, de la regla y de la fuente. Se practica leyendo tablas de casos, planes, corridas y alertas ficticias de una planta de lácteos y se cierra en otra organización, un colegio, sin paso a paso. No se ejecuta ni se enseña a ejecutar ninguna técnica: todo es lectura de resultados y de evidencia.

Qué se automatiza y qué no cuando una detección dispara: playbooks, enriquecimiento automático, aprobaciones humanas, errores de automatización y su medición. Se comparte con el camino de Analista SOC: se estudia una vez y cuenta en los dos.

Un encargo de trabajo completo, de unas ocho horas, con cinco salas de escenario y casi sin guía. No enseña nada nuevo: integra los módulos anteriores. Se hereda el catálogo de una cervecería con deuda (detecciones sin dueño, fuentes que dejaron de llegar, duplicados y reglas sin pruebas): lo inventarías, mides su calidad y su costo contra la capacidad del turno, calculas la cobertura efectiva de las técnicas que importan, decides qué se retira, qué se repara y qué se prueba, y propones un plan del mes que cabe en las horas de una persona. Todo es lectura de tablas y evidencia ficticias. Cierra con un escenario sin paso a paso: otra organización, una red de laboratorios clínicos, y sus ocho detecciones.

Un simulacro de ocho horas, sin guía y sin enseñar nada nuevo: llega el aviso de una campaña descrito como conductas y el catálogo tiene que verla. Lees el aviso y lo conviertes en hipótesis, cruzas cada conducta con las fuentes que de verdad llegan, escribes y pruebas una regla con datos de laboratorio, mides la sombra y la cobertura efectiva contra la promesa y decides la frase de cobertura que se entrega con el paquete. Cierra con un escenario sin paso a paso en otra organización: un acueducto con otras fuentes, otros criterios y cuatro reglas candidatas.

El caso final del camino: el paquete de quince detecciones de un operador logístico, que hay que revisar, corregir y priorizar en una semana, sin guía y sin pistas. No enseña nada nuevo: pone a trabajar todo el camino —ciclo de vida y fichas, telemetría, ingesta y normalización, detección como código y pruebas, cobertura de ATT&CK y prioridad, correlación y puntuación de riesgo, afinado y métricas, validación con datos de laboratorio y automatización— sobre otra organización y otros números. Incluye la lectura de una nota de traspaso en inglés técnico. Se abre al completar el resto del camino y da la credencial del camino.