Una regla es un archivo con historia

En el módulo 4 de esta ruta aprendiste a escribir una regla en Sigma y a traducirla. Falta lo que ocurre con esa regla el día siguiente: quién la cambia, cómo se revisa lo que cambia, cómo se sabe que sigue funcionando. Un ingeniero de detección responde a esas preguntas igual que quien mantiene software: la regla es un archivo de texto guardado en un repositorio con control de versiones.

Lo que se gana es concreto. Cada cambio queda con su autora, su fecha y su motivo. Un cambio se propone aparte (una solicitud de cambio) y lo lee otra persona antes de que llegue a producción. Si un cambio sale mal, se vuelve a la versión anterior sin reconstruirla de memoria. Y las pruebas viajan con la regla: viven en la misma carpeta y se ejecutan solas.

La estructura del repositorio de Zipaquirá está en el panel: una carpeta de reglas con un archivo por regla, otra de pruebas, otra de fichas, los pasos automáticos y un archivo que dice quién aprueba qué.

Para que el repositorio sirva, tiene que ser la fuente de la verdad: lo que está en el repositorio es lo que debe correr, y el SIEM es solo el lugar donde corre. Cuando alguien edita una regla directamente en el SIEM, el repositorio queda desactualizado, o ni siquiera la conoce. Esa diferencia se llama deriva, y se encuentra comparando los dos lados.

Abre el panel y mira el inventario: cada regla con su presencia en el repositorio, su presencia en el SIEM y la versión de cada lado.

Aunque una regla esté en los dos lados, puede no ser la misma. Si el repositorio dice v2.1 y el SIEM ejecuta la v2.0, las pruebas que pasan en el repositorio hablan de una regla que no es la que vigila. Por eso, entre los pasos de publicación, uno de los importantes es comprobar que lo publicado coincide con lo que el repositorio dice.

En el repositorio las pruebas son una carpeta aparte, con los eventos de ejemplo y lo que se espera de cada uno. Una regla sin casos no tiene forma de comprobarse al cambiar: cualquier modificación se publica a ciegas. La columna casos_de_prueba cuenta los casos escritos de cada regla; «—» significa que la regla ni siquiera está en el repositorio.

La regla que alerta sin estar en el repositorio no tiene dueño, ni versión comprobable, ni pruebas. Quien la vea sospechará que alguien la escribió con prisa en una guardia y nunca volvió.