Elastic Security — tipos de regla

La documentación de Elastic Security lista siete tipos de regla de detección: consulta personalizada, correlación de eventos con EQL, umbral, coincidencia de indicadores, nuevos términos, ES|QL y aprendizaje automático. La diferencia no es de sintaxis, es de qué mira cada una. La consulta mira un documento a la vez. EQL mira eventos relacionados y ordenados. El umbral cuenta. La coincidencia de indicadores cruza el evento con un índice de indicadores. Nuevos términos busca un valor que no se había visto. El aprendizaje automático trabaja con anomalías calculadas.

Esa diferencia decide qué puede detectar la regla. Una condición que necesita varios eventos no cabe en un tipo que evalúa uno.

Cada regla del espacio de la cervecería declara un tipo. Es el primer dato que se lee de una regla ajena, porque condiciona todo lo demás: qué campos pide, qué excepciones admite y cómo se prueba.

Abre la consola y consulta el inventario.

Cuando el inventario de un espacio se revisa por tipos, lo primero que sale es la proporción. Un espacio donde casi todo es consulta suele ser un espacio donde se evitó lo más difícil: relacionar eventos y contar. No es un defecto en sí, pero indica dónde buscar las reglas que prometen más de lo que hacen.

La tabla de tipos explica qué evalúa cada uno y el inventario dice cuál usa cada regla.

Un nombre de regla es una promesa. Si dice «más de quince en cinco minutos», quien lea una alerta esperará que haya habido más de quince. Un tipo que evalúa un documento a la vez no puede cumplir esa promesa, porque en cada evaluación solo ve un evento.

Una regla del inventario tiene un nombre que pide contar y un tipo que no cuenta.

Dejar esa regla como está tiene un costo que no se ve en el catálogo. La regla sigue activa, aparece como cobertura de DNS y nadie sospecha de ella. Pero lo que hace no es lo que dice su nombre.