Reglas de correlación en Sigma

Una regla de correlación no trae selecciones ni condición sobre campos de un registro. Trae una sección correlation con cinco piezas: el tipo de correlación, la lista de reglas que alimentan el cálculo, el campo por el que se agrupa, la ventana de tiempo y la condición que debe cumplirse. Las reglas que la alimentan se citan por su id o por su name, y son las que siguen detectando eventos sueltos.

La especificación recoge cuatro tipos: contar eventos, contar valores distintos de un campo, exigir que ocurran todos los eventos en la ventana y exigir además que ocurran en un orden. La versión de la especificación que se usa en este módulo es la 2.1.0; otras plataformas y conversores pueden admitir menos tipos.

DVL-151 avisa cuando una cuenta acumula demasiados fallos de autenticación en poco tiempo. Cuenta avisos de una regla base, agrupados por cuenta, dentro de una ventana, y la condición es un umbral. Es la correlación más simple y la más usada.

Abre la consola y lee el archivo de DVL-151.

DVL-152 pide un fallo y después un acceso correcto de la misma cuenta, dentro de quince minutos. Es el patrón que interesa cuando alguien acierta una contraseña tras probar. Para el orden, la regla cita las reglas base en el orden en que deben ocurrir; si las citara en otro orden, sería otra regla.

La tabla eventos_de_la_ventana trae lo que saltó el 6 de octubre de 2026, con su hora y su cuenta. Agrupa por cuenta, recorre la ventana y cuenta cuántas cuentas cumplen la secuencia completa.

La variante sin orden solo exige que los dos tipos de aviso ocurran dentro de la ventana, en cualquier secuencia. Detecta más cosas, pero también cosas que no son la conducta buscada: un acceso correcto seguido de un fallo es, casi siempre, una persona que se equivocó al volver a entrar.

Entre las cuentas de la mañana hay una que activaría la variante sin orden y no la ordenada, porque su acceso correcto precede al fallo.

La clave de agrupación dice cuál es la identidad que une los avisos. Sin ella, cinco fallos de cinco cuentas distintas serían indistinguibles de cinco fallos de una sola. La especificación la hace obligatoria en estos tipos, y por una buena razón: una correlación sin identidad común cuenta ruido.

Eso exige una condición previa: los avisos de las reglas base deben traer el campo de agrupación con el mismo significado. Cuando una regla lo llama de una forma y otra lo llama de otra, se declara un alias.