Integración continua y publicación controlada

La integración continua es un conjunto de pasos automáticos que se ejecutan en cada solicitud de cambio, siempre en el mismo orden, y que impiden unirla si alguno falla. Para una detección, los pasos habituales son: comprobar que el archivo está bien formado, comprobar que cumple el esquema de Sigma, comprobar que el id no está repetido, convertir la regla al lenguaje del SIEM con el mapeo de campos, ejecutar los casos de prueba y comprobar que la ficha está al día.

Lo que el flujo comprueba es forma y regresión: que la regla se puede leer, traducir y que sigue haciendo lo que sus casos dicen. No juzga si la hipótesis es buena ni si los casos son los que hacen falta. Un flujo en verde dice «no se ha roto nada de lo que ya sabíamos probar», no «la regla es buena».

Un paso del flujo que merece especial atención es la conversión con mapeo. En el módulo 4 viste que una traducción con los nombres de campo equivocados no da error: devuelve cero resultados y la regla parece activa sin vigilar nada. Por eso el flujo traduce la regla en cada cambio y falla si algún campo no tiene correspondencia en el mapeo del SIEM.

Abre el panel y lee la ejecución del flujo sobre la v1.5 de FZQ-022.

Cuando un paso falla, el flujo se detiene: los siguientes quedan omitidos. Eso importa al leer los resultados. Un flujo con un fallo y dos pasos omitidos no dice que los casos de prueba pasen: dice que no se ejecutaron. Los verdes de antes del fallo no son una garantía sobre lo que viene después.

Publicar es una etapa más y se puede equivocar. Mira el historial de FZQ-022: la v1.4 pasó el flujo en verde y, sin embargo, en sus dos primeros días en producción dio 212 alertas frente a las 9 y 11 de las versiones anteriores. El flujo no podía verlo: sus casos no medían volumen.

Un historial de versiones ordenado sirve para esto: hay una versión anterior probada y publicada que se puede restaurar mientras se arregla la nueva. La versión a la que se vuelve es la última que corrió sin un volumen anormal antes de la que dio el problema.

La v1.4 pasó por revisión y por el flujo, y aun así llegó al turno con un volumen que nadie había visto. Lo que falta entre «el flujo está en verde» y «avisa al turno» es una etapa de sombra: la regla corre sin avisar y deja sus disparos aparte durante un tiempo, para ver cuánto da en datos reales antes de pedirle nada al turno. La tabla etapas recoge el camino completo y el criterio para pasar de cada etapa a la siguiente.