Hipótesis y requisitos de datos

La hipótesis es la frase que justifica la regla: «si pasa esto, veremos esto otro en este sitio». Una buena hipótesis nombra la conducta (qué hace alguien), el rastro (qué evento queda) y el lugar (en qué fuente). Se escribe antes que la lógica, porque obliga a preguntar si el rastro existe.

«Detectar ataques» no es una hipótesis: no dice qué conducta ni dónde se vería. «Si alguien prueba contraseñas contra una cuenta, veremos muchos fallos de inicio de sesión de esa cuenta desde un mismo origen en pocos minutos» sí lo es, y se puede comprobar: o hay fallos con cuenta y origen, o no los hay. Cada hipótesis se etiqueta con la técnica de MITRE ATT&CK que describe la conducta; la etiqueta sirve para medir la cobertura del catálogo, no para decidir si la regla vale.

Cada hipótesis necesita una fuente y unos campos. Abre el catálogo y mira las tablas hipotesis y fuentes_ingeridas: la primera dice qué fuente necesita cada hipótesis, la segunda dice qué recibe de verdad el SIEM y de cuántos equipos.

Una hipótesis cuya fuente no llega no es una regla pendiente de escribir: es una regla imposible hoy. Escribirla igualmente produce lo peor que puede producir una detección, una regla activa que nunca salta y que da una falsa sensación de cobertura.

La cobertura rara vez es todo o nada. La hipótesis de PowerShell necesita la línea de comandos de cada proceso, y esa fuente solo la entregan los equipos que tienen Sysmon instalado. Un equipo sin la fuente es un equipo donde la regla no puede saltar, aunque la conducta ocurra en él. Por eso la ficha de la regla debe decir en qué equipos vale.

Calcula con la tabla fuentes_ingeridas el tamaño del punto ciego de esa regla.

Hay hipótesis que necesitan memoria: «una cuenta usada en horas que nunca usa» solo se puede decidir comparando con las últimas semanas de esa cuenta. La columna dias_hacia_atras de hipotesis dice cuánto necesita mirar cada una, y retencion_dias de fuentes_ingeridas dice cuánto guarda la fuente. Si la fuente guarda menos de lo que la regla necesita mirar, la regla compara contra un pasado recortado y se equivoca siempre en el mismo sentido.

Los eventos no llegan al SIEM en el instante en que ocurren: pasan por el agente, la cola y el indexador. En la fuente de inicios de sesión el retraso medio es de 3 minutos. Una regla que cuenta fallos en ventanas de 5 minutos y se ejecuta justo al cierre de cada ventana lee una ventana a la que todavía le faltan eventos por llegar.