Anatomía de una regla Sigma

Una regla Sigma tiene dos mitades. La primera describe la regla: título, identificador, descripción, autor, fechas, etiquetas, motivos legítimos conocidos y gravedad. La segunda es la lógica. En ella, el bloque logsource dice sobre qué registros se evalúa (categoría, producto, servicio) y el bloque detection dice qué se busca dentro de ellos.

Separar las dos cosas es lo que permite escribir la regla una vez y aplicarla a distintas plataformas: quien traduce la regla solo necesita saber de qué tipo de registro habla y qué patrón se pide.

Abre la estación y lee compresor-en-carpeta-publica.yml. El campo status no habla de gravedad sino de madurez: cuánto se ha probado la regla y cuánta confianza merece. Una regla recién escrita no se presenta como una regla probada, y quien lee la cola de alertas debe poder saberlo de un vistazo. La gravedad es otro campo distinto.

Dentro de detection se definen bloques con nombre (los elige quien escribe) y una condition que los combina con and, or y not. Un bloque que se usa con not sirve para excluir actividad legítima conocida. Es la forma ordenada de recoger una excepción: queda a la vista, con nombre y en un lugar que se revisa.

Leer una regla es poder decir, sin ejecutar nada, qué eventos la harían saltar. En eventos-a-evaluar.txt hay tres eventos. Aplica la condición completa: los dos primeros bloques deben cumplirse y el de exclusión no. Fíjate en la ruta del ejecutable y en quién lo lanzó.