Lectura de consultas de coincidencia

La forma más común de una regla de coincidencia es un cruce: cada evento se une con la lista cuando un campo del evento es igual a un valor de la lista. En la consola escribe proxy y lista_dominios para ver los dos lados, y después el cruce:

proxy | join kind=inner lista_dominios on $left.dominio == $right.valor

La igualdad exacta es precisa y barata, pero un dominio de la lista no coincide con sus subdominios: si la lista dice ruta-cisterna.example, una visita a un nombre que termina en él no es igual a él. Compara el cruce con esta búsqueda por sufijo:

proxy | where dominio endswith "ruta-cisterna.example"

El cruce de la tarea anterior es una búsqueda hacia atrás: compara cada evento de la semana con la lista tal como está hoy. Una regla que corre cada cinco minutos compara cada evento con la lista tal como estaba en ese momento, así que no puede ver una visita a un dominio que entró a la lista días después. Esas coincidencias tardías solo las encuentra una búsqueda retrospectiva, y son valiosas: dicen que alguien de la casa tocó la campaña antes de que se supiera.

Escribe el cruce y quédate con lo que pasó antes de que el valor entrara a la lista:

proxy | join kind=inner lista_dominios on $left.dominio == $right.valor | where hora < agregado

Una regla puede estar bien escrita, ejecutarse cada cinco minutos y no disparar nunca, porque compara dos cosas que jamás pueden ser iguales. Nadie lo nota: una regla que no dispara se parece mucho a una casa donde no pasa nada. Escribe reglas_guardadas y lee cada consulta: qué tabla, qué campo de la izquierda y qué campo de la derecha. La nota de la salida dice qué contiene cada campo de la tabla dns.

La búsqueda por sufijo encontró lo que la igualdad exacta perdía, pero tiene su propio riesgo. Si alguien carga en la lista un dominio de nivel alto que comparten muchos sitios —el de un proveedor de alojamiento o de una red de contenidos—, el sufijo coincidirá con miles de visitas legítimas. Lo prudente es aplicar el sufijo solo a los dominios que el analista revisó y marcó como del adversario de punta a punta.