Fuentes de registro y campos requeridos

El bloque logsource de una regla Sigma dice de qué tipo de registros habla con tres claves que evalúa el conversor: category (el tipo de evento, por ejemplo process_creation), product (el sistema, por ejemplo windows) y service (el canal dentro del producto). Hay una cuarta, definition, que el conversor no evalúa: es texto para quien despliega la regla y explica qué configuración de registro hace falta.

En Windows, la creación de procesos la pueden registrar dos fuentes distintas: el evento 1 de Sysmon y el evento 4688 del registro de seguridad. La categoría no elige entre las dos: eso lo decide la configuración del conversor en cada organización.

Abre la consola. fuentes_de_registro lista lo que llega al SIEM y equivalencia_de_campos cómo se llama cada campo de la categoría en las dos fuentes que registran procesos.

Los nombres de campo de una regla de creación de procesos son los de Sysmon. Si la conversión apunta al registro de seguridad, cada campo tiene que traducirse a su nombre en ese evento, o la consulta buscará columnas que no existen. RLA-031-A usa dos campos: la ruta del proceso nuevo y la del proceso padre.

cobertura_por_grupo dice, grupo por grupo, cuántos equipos tienen Sysmon, cuántos envían el 4688 y si el 4688 trae la línea de comandos. El boletín dice que la campaña apunta a las áreas de compras y cartera.

Si la conversión de la casa solo apuntara a Sysmon, algunos equipos de esas áreas no estarían en los datos de la regla. Busca el grupo de compras o cartera que, para la creación de procesos, solo se puede ver con el registro de seguridad.

Para el informe a la jefatura hace falta una cifra: cuántos equipos de las áreas destinatarias del boletín (compras, compras de planta y cartera) vería RLA-031-A si se convirtiera solo contra Sysmon.

RLA-031-A solo usa la ruta del proceso y la del padre, y el 4688 trae las dos en todas las sedes. Un miembro de la Red propone añadir a la regla una condición sobre la línea de comandos. En la planta y en el centro de acopio, el 4688 llega con la línea de comandos vacía porque la directiva que la incluye está apagada.