Anatomía de una regla genérica

Sigma es un formato abierto para escribir reglas de detección sobre registros en un archivo YAML que no depende de ningún SIEM. La regla describe qué buscar (qué registros, qué campos, qué valores) y un conversor la traduce después a la consulta de cada producto. Por eso los grupos de intercambio pueden adjuntar una regla Sigma a un boletín: cada miembro la lleva a su propia plataforma.

La especificación pide tres partes obligatorias: un título (title), la descripción de qué registros mira la regla (logsource) y la detección (detection), que dentro lleva sus selecciones y la condición (condition) que las combina. Todo lo demás es opcional pero útil: id, status, description, references, author, date, tags, falsepositives y level, entre otros.

Abre la consola. boletin_rla_2026_031 es el boletín y regla_rla_031a la regla publicada por la mesa de detección de la Red, línea a línea.

Una regla bien escrita se puede seguir hasta su origen: references apunta al boletín y tags dice qué técnica pretende ver. Las etiquetas de Sigma van en minúsculas y con espacio de nombres separado por un punto: las de ATT&CK empiezan por attack. y siguen con el identificador de la táctica o de la técnica. Para el analista de inteligencia es el puente entre lo que cuenta el boletín y lo que la regla mira.

El boletín adjunta también RLA-031-B, un borrador que envió un miembro sin pasar por la mesa de detección. Que una regla «se lea bien» no basta: si le falta una parte obligatoria, ningún conversor sabrá a qué datos aplicarla.

Compara regla_rla_031b con la tabla campos_de_la_especificacion y busca la parte obligatoria que el borrador no tiene. Le faltan también campos opcionales; esos no impiden convertirlo.

Leer una regla con ojos de inteligencia es contrastarla con la fuente. La selección selection_hijo de RLA-031-A es una lista: cualquiera de sus valores basta (una lista en Sigma se lee como «o»). Y selection_padre exige que el proceso padre sea la hoja de cálculo. Juntas, por la condición, piden las dos cosas a la vez.

Ahora lee la conducta observada del boletín: dice qué programas abrió la hoja de cálculo en los miembros afectados. Alguno de ellos no está en la lista de la regla, y en ese caso la regla callaría aunque la conducta del boletín se repitiera tal cual.

La regla de la Red cubre dos de los tres programas del boletín; el tercero solo aparece en el borrador RLA-031-B, que no se puede convertir. El jefe del SOC pregunta si se activa la regla tal cual «porque viene de la Red».