Listas y reglas encadenadas

Una lista CDB es un archivo de texto con una clave por línea, y después de dos puntos, un valor opcional. Las claves son únicas; los valores pueden repetirse. Para listas de direcciones IP, una clave incompleta, como los dos o tres primeros bloques seguidos de un punto, cubre una red entera; por eso conviene revisar qué claves se meten.

El archivo vive en el directorio de listas del servidor, se declara en la sección ruleset del archivo de configuración y una regla lo consulta con la etiqueta list, indicando el campo y el tipo de búsqueda.

Abre lista_ips_autorizadas. Cada fila es una línea del archivo: la dirección es la clave y el valor es una etiqueta que ayuda a quien lee una alerta a saber de qué se trata. La búsqueda de una regla suele mirar solo la clave; el valor se usa cuando hace falta con match_key_value y una expresión.

La regla 100300 no mira un evento, mira repeticiones: con if_matched_sid apunta a la regla de login fallido, con frequency exige un número de coincidencias, con timeframe fija la ventana en segundos y con same_srcip exige que sea el mismo origen. Solo cuando se cumplen las cuatro condiciones, la regla dispara.

Abre reglas_encadenadas y origenes_observados, y cuenta cuántos de los tres orígenes llegan a disparar la regla de ráfaga.

Cuando la ráfaga dispara, entran las hijas de 100300: una consulta la lista con address_match_key y la otra con not_address_match_key. Son dos preguntas opuestas, así que para un origen dado dispara una sola. La regla que dispara al final es la que decide el nivel con el que se presenta el caso al turno.

El equipo del acuario añade una dirección nueva al archivo de la lista y espera que las reglas la usen. Las listas se compilan cuando arranca el motor de análisis. Cambiar el archivo y no hacer nada más es una causa clásica de «la lista no funciona».