Reescribir una regla de indicador a comportamiento

5 tareas · 40 min · Principiante

Subir una regla de nivel no es añadirle condiciones: es volver a la pregunta que la regla quería contestar y escribirla con lo que no cambia. En la Cordelería Pasquilla, una regla de huella de documentos no saltó en un caso reciente porque el documento era nuevo, aunque lo que hizo después sí quedó escrito. Lees el caso, miras lo normal de la fábrica durante 90 días y la fuente que de verdad llega al SIEM, y decides cómo se reescribe la regla y qué falta antes de ponerla en producción. Todo es lectura de evidencia ficticia: no se ejecuta nada contra ningún sistema.

0 de 5 · 0%

Objetivo de la sala

Una regla de indicador dice: «avisa si aparece este valor». Tras la hipótesis hay una pregunta más profunda: ¿qué hace quien usa un documento así, y qué deja escrito? Reescribir una regla de indicador a comportamiento consiste en cambiar el valor, que caduca, por la conducta, que se repite, y dejar intacto el propósito.

El paso importante es no empezar por la condición. Primero se separa lo que el caso dejó escrito en lo que es particular (este documento, esta cuenta, este equipo) y lo que sirve al objetivo (que un programa de ofimática lance un intérprete, que este cree algo que se ejecuta solo). Después se pregunta si esa cadena aparece alguna vez en el trabajo normal.

Responde para continuar

¿Qué se conserva al reescribir una regla de indicador como regla de comportamiento?

El valor del indicador, que se mantiene en la regla y se le añade alguna condición más para que salte con menos frecuencia La lista de huellas del boletín, ampliada con una condición adicional sobre la hora, para que alerte solo en horario de turno La hipótesis, o lo que la regla existe para ver: cambia el valor que se compara, y la pregunta de fondo sigue siendo la misma

Abre regla_actual y caso. La regla de huella no saltó porque la del documento no estaba en la lista. Las líneas del caso dicen quién lanzó a quién. Lo que el documento dejó al final es un artefacto que sí se puede comparar.

Responde para continuar

Escribe el nombre de la tarea programada que creó el caso reciente.

Ver pista de ayuda

Ejecuta `SELECT * FROM caso` y lee el detalle de la línea en que el intérprete lanza al programa de tareas programadas.

Una condición nueva debe poder sobrevivir al trabajo cotidiano. base_90_dias registra los pares de procesos del caso durante 90 días de la fábrica, por equipo, y cuántas de esas veces se creó una tarea programada. Empieza por el primer eslabón: un editor de hojas de cálculo que lanza un intérprete.

Responde para continuar

Escribe cuántas veces en 90 días el editor de hojas lanzó al intérprete, sumando todos los equipos.

Ver pista de ayuda

Ejecuta `SELECT * FROM base_90_dias` y suma veces_en_90_dias de las filas cuyo padre es el editor de hojas.

Con el caso y lo normal en la mano, hay varias formas de reescribir la regla. Una tiene demasiado ruido, otra se queda en el valor, otra es tan estrecha que se pierde si cambia un detalle. Elige la que deja menos ruido sin perder lo que el caso dejó escrito.

Responde para continuar

¿Qué lógica reescrita deja menos ruido sin perder el caso?

Un editor de hojas lanza al intérprete y este crea una tarea programada, sin excepciones: nada así aparece entre lo normal de 90 días Cualquier editor de hojas que lance al intérprete, porque es el primer paso del caso y la alerta llega antes de que se cree nada en el equipo Cualquier creación de una tarea programada por el intérprete, porque es el rastro que el caso dejó escrito al final de toda la cadena Añadir a la lista de CPQ-40 la huella del documento del caso, que es el dato nuevo con que se cuenta tras la revisión del caso reciente

La regla reescrita solo funciona si el SIEM recibe todos los campos que usa. El caso se reconstruyó de una captura forense del equipo, pero la regla debe correr sobre lo que llega a diario. Compara los campos que la condición necesita con los que fuente dice que se reciben.

Responde para continuar

Escribe el nombre del campo que la regla reescrita necesita y que el SIEM no recibe hoy de las estaciones.

Ver pista de ayuda

Ejecuta `SELECT * FROM fuente` y busca la fila cuya columna lo_recibe_el_siem_de_las_estaciones dice no.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Qué se conserva al reescribir

2 Lo que dejó escrito Lab

3 Cuánto es normal Lab

4 La condición que queda

5 Lo que la fuente no trae Lab

Whoami-Labs Pro utiliza cookies