De la conducta a la hipótesis

Una hipótesis de detección tiene la forma «si ocurre tal cosa, entonces se vería tal dato en tal fuente». Es defendible cuando cumple tres condiciones: se puede refutar (existe un resultado que la daría por mala), tiene una fuente que llega y está atada a una conducta, no al nombre de un grupo. «Detectar al grupo X» no es una hipótesis; «detectar un inicio de sesión nuevo seguido de consultas inusuales» sí.

La condición de la refutación es la que más se olvida. Si ningún resultado puede contradecir la hipótesis, no se puede saber si la regla que sale de ella funciona.

Abre la consola. conductas lista las cinco conductas del informe con la técnica de ATT&CK que la etiqueta y la fuente que la dejaría escrita; fuentes_disponibles dice si cada fuente llega hoy al SIEM. Una conducta cuya fuente no llega no se puede probar, por buena que sea la hipótesis.

hipotesis trae seis candidatas con su enunciado, el dato que la confirma y el que la refuta. Una de ellas no define ningún dato que la refute: sea cual sea el resultado, parecería cierta. Esa no se puede probar, y una regla que salga de ella nunca se podrá evaluar.

El criterio de esta sala para trabajar una hipótesis ya: relevancia alta según el perfil, fuente que llega y dato que la refute definido. La columna dias es el trabajo estimado de Llanura Viva para escribir la regla y probarla.

La candidata de relevancia alta cuya fuente no llega queda sin poder probarse. Hay tres respuestas posibles del ingeniero: escribir una regla con otra fuente que sí llega, olvidarla o dejarla registrada con su dependencia.