Comportamiento y técnica

Una regla de comportamiento describe una secuencia de hechos que sirve a un objetivo y no depende del programa concreto que la ejecuta. En lugar de «este archivo» pregunta «¿una cuenta que nunca abre sesión interactiva la abrió, y poco después se leyó una carpeta sensible y salió un volumen grande hacia fuera?». Habla de la técnica, no de la herramienta.

Esto la hace más durable, porque cambiar de programa no cambia la cadena. También la hace más difícil de escribir: necesita campos que relacionen los hechos (quién, desde dónde, qué lanzó a qué, cuánto tiempo pasó) y una idea clara de qué es normal en la organización para no alertar de lo cotidiano.

Abre reglas: cuatro reglas del catálogo, cada una escrita en un nivel distinto sobre la misma conducta, y registro: las diez líneas que dejó la actividad en PQ-DIS01. Antes de mirar el registro, busca la regla cuya lógica habla de una cadena de hechos y no de un valor, un nombre o un programa.

Una regla de comportamiento tiene varias condiciones y se cumple cuando todas se dan. La lógica de la regla que acabas de encontrar termina en una salida de datos de un tamaño concreto. Busca en el registro la línea que la satisface.

La regla pide que todo ocurra dentro de una ventana de 30 minutos desde la sesión remota. Comprueba con el registro que el caso cabe en esa ventana: es la prueba de que la condición temporal está bien puesta y de que la regla habría saltado.

Imagina que en una intrusión siguiente la cadena es la misma, pero el compresor y el programa de envío son otros y la salida va a otro destino. Piensa qué lee cada regla de la tabla: un programa, una huella, una dirección o una secuencia.