Actualizar y versionar conjuntos

El actualizador de reglas de Suricata, suricata-update, descarga el conjunto del proveedor y aplica los ajustes locales declarados en archivos de texto: uno para apagar reglas, otro para encenderlas, otro para convertir alertas en descartes y otro para reescribir líneas: modify.conf, drop.conf, enable.conf y disable.conf. Cada línea identifica la regla por su sid, por gid:sid o por una expresión. Los archivos se aplican siempre en el mismo orden, y ese orden decide qué pasa si dos de ellos se contradicen.

Los ajustes viven fuera del conjunto del proveedor precisamente para sobrevivir a la siguiente actualización: lo que se edita dentro del conjunto se pierde.

Una misma regla en disable.conf y en enable.conf es una contradicción que alguien dejó escrita: probablemente un archivo lo añadió una persona y el otro, otra, sin leer el primero. Que el resultado dependa del orden de aplicación es justo lo que no se quiere en una configuración revisable.

Lee archivos_de_ajuste.

Cada actualización lleva un recuento de reglas nuevas, modificadas y retiradas. Una regla retirada es una detección que dejó de existir sin que nadie de la organización lo decidiera, y si estaba cubriendo una hipótesis del catálogo hay que enterarse. Las sumas del mes dan la medida de cuánto cambia el suelo bajo los pies de la cobertura.

Suma las retiradas de las cuatro actualizaciones de historial_del_conjunto.

El historial dice quién aprobó cada versión del conjunto. Una versión sin aprobación no significa que alguien actuó de mala fe; significa que el proceso, el de revisar los cambios importantes antes de cargarlos y de conservar la versión anterior para volver atrás, no se aplicó esa semana. Es una brecha de proceso y es lo primero que mira una auditoría.

El actualizador, hoy, solo distingue las reglas por su sid. Si una regla local tiene el mismo sid que una regla nueva del proveedor, una de las dos tapa a la otra y la organización pierde una detección sin recibir ningún error. Por eso las reglas locales se numeran en un rango aparte y se comparan con cada actualización.

Cruza reglas_locales con novedades_p_1005.