EQL — eventos y secuencias

En EQL cada condición va entre corchetes y empieza por la categoría del evento: file where ..., process where .... Una secuencia encadena varias de esas condiciones y exige que ocurran en el orden escrito. Con sequence by host.name solo se encadenan eventos que comparten ese valor, es decir, del mismo equipo. Con with maxspan=2m todos los eventos deben caber en dos minutos.

Una secuencia mal acotada sirve de poco: sin la clave común, un documento en un equipo y un intérprete en otro formarían una pareja que no significa nada.

La regla pide primero la creación de un documento con macros y después un intérprete de comandos que lo tenga como proceso padre. Los eventos de una secuencia se ordenan por tiempo y se exigen en el orden escrito: si ocurren al revés, no hay secuencia, aunque los dos eventos existan y estén cerca.

Abre la consola. regla_caq_02 tiene el texto y eventos_de_secuencia doce eventos con su hora. Mira los equipos por separado.

En EQL, == compara de forma exacta y distingue mayúsculas de minúsculas; : no las distingue y admite comodines. La regla usa == para el nombre del proceso. Un binario que se llama igual pero con otras mayúsculas deja de coincidir sin ningún aviso: no hay error, solo una alerta que no sale.

Hay un equipo en el que el orden y el lapso son correctos y aun así la secuencia no se completa.

Aplicar la regla completa significa comprobar, para cada equipo, las tres cosas a la vez: los dos eventos existen con los valores exactos, van en el orden escrito y caben en el lapso. Los eventos de otros equipos o de otras extensiones no cuentan, aunque estén en la misma hora.

Revisa también los eventos que no tienen pareja, como una hoja de cálculo.

Un equipo cumple el orden y los valores, pero sus dos eventos están separados por más de tres minutos. La primera reacción es subir el lapso de la regla a cinco minutos para que lo capture. Cambiar un lapso es cambiar la regla: abarca más parejas posibles en todos los equipos, no solo en uno.