Adaptar la regla a tu entorno

Adaptar una regla genérica es llevar su lógica a tus datos sin cambiar lo que busca: se traducen la categoría a un índice o tabla concretos y cada campo a su nombre local, y lo que es propio de la casa (las excepciones, los programas que el boletín añadió) va en una regla tuya, con tu id, que dice de cuál deriva. Así, cuando la Red publique una corrección, sabrás qué regla tuya tocar.

La conversión la hace un conversor con dos piezas: el backend produce el lenguaje del destino y un pipeline de procesamiento aplica el mapeo de campos y de logsource de tu entorno. La misma regla puede salir bien hacia un destino y mal hacia otro.

Abre la consola. regla_local_lru_s04 es la regla local, mapeo_por_destino cómo se llama cada campo en cada destino, y consulta_lago_planta lo que produjo el conversor para el lago de la planta.

Un conversor solo traduce lo que su mapeo le dice. Si un campo de la regla no se traduce, la consulta sale con el nombre original, que en la tabla de destino no existe: según el motor, la consulta da error o no devuelve nada nunca, y las dos cosas se parecen mucho a «no pasó nada».

En Sigma, los valores se comparan sin distinguir mayúsculas de minúsculas, salvo las expresiones regulares. Una conversión correcta tiene que respetar eso en el destino. Lee propiedades_de_destino y la consulta del SIEM central en consulta_siem_central.

eventos_de_muestra trae cuatro eventos que la regla Sigma cubre. Uno de los del SIEM central no lo encontraría la consulta convertida, aunque la regla sí lo describe.

La regla local tiene en related el identificador de RLA-031-A y un tipo todavía pendiente. La especificación define cinco tipos de relación; la tabla tipos_related los resume.

Lácteos Río Upía partió de la regla de la Red, cambió algo de su lógica para su entorno y la regla de la Red sigue publicada y en uso por otros miembros.

Con lo visto, la regla local está bien escrita en Sigma, pero una de sus conversiones no encuentra un evento en mayúsculas y la otra busca una columna que no existe. Quien mantiene el SIEM propone dar la adaptación por terminada «porque la regla Sigma está bien».