Campos y fuentes de log

4 tareas · 40 min · Principiante

Una regla perfecta sobre un registro que no existe no detecta nada. Cada fuente de log nombra los campos a su manera y algunas ni siquiera los recogen, así que antes de dar una regla por desplegada hay que comprobar que los datos que necesita llegan de verdad. En Brisaluz Logística la regla del compresor se escribió con nombres genéricos y la empresa tiene equipos con fuentes distintas. Lees el inventario, el mapeo de campos y la política de auditoría, y declaras qué parte de la flota queda sin cubrir. Solo lectura de documentos ficticios.

0 de 4 · 0%

Objetivo de la sala

Una regla Sigma usa nombres genéricos de campo, por ejemplo Image para el ejecutable que arranca. Cada fuente real los escribe a su manera. Al traducir la regla a una plataforma concreta se aplica un mapeo de campos (en pySigma se llama proceso o pipeline de procesamiento) que cambia cada nombre genérico por el de la fuente.

Sin ese mapeo la consulta resultante buscaría un campo que no existe en esos registros, y no fallaría con ruido: simplemente no encontraría nada, que es peor.

Responde para continuar

¿Para qué sirve el mapeo de campos al traducir una regla?

Para comprimir la regla y que ocupe menos espacio en el repositorio de reglas Para sustituir los nombres genéricos de campo por los de cada fuente Para decidir la gravedad de la alerta según la fuente que la produce

Ver pista de ayuda

La regla habla en términos genéricos y el registro real habla en los suyos.

Abre la estación y lee mapeo-de-campos.txt. El ejecutable que arranca se llama Image en Sysmon y de otra manera en el registro de seguridad de Windows. Esa es la diferencia que el mapeo resuelve.

Responde para continuar

¿Qué campo de la fuente Seguridad de Windows corresponde al campo Image de la regla? Escribe su nombre tal cual.

Ver pista de ayuda

Es la columna de la derecha de la tabla, en la fila de Image.

La regla del compresor necesita el campo CommandLine. Algunas fuentes solo lo llenan si una política de auditoría lo permite. Cruza inventario-de-fuentes.csv con politica-linea-de-comandos.txt: los grupos con ese campo vacío no pueden evaluar la regla, aunque esté desplegada.

Responde para continuar

¿Cuántos equipos de Brisaluz no pueden evaluar la regla del compresor porque el campo CommandLine les llega vacío? Escribe solo el número.

Ver pista de ayuda

Suma los equipos de los grupos donde la columna campo_commandline_llega dice no.

Lo honesto con un hueco así es dejarlo escrito: la regla cubre a los equipos con Sysmon y no cubre a los otros. Se anota en la documentación de la regla y se pide la decisión pendiente (activar la política) a quien la toma. Lo que no se hace es presentar la regla como cobertura de toda la empresa.

Responde para continuar

Con ese resultado, ¿qué se informa sobre la cobertura de la regla?

Que cubre todos los equipos, porque la regla está desplegada en el catálogo Que no cubre ninguno, porque con un solo grupo sin el campo la regla queda inválida Que cubre solo donde llega CommandLine y falta decidir la política en los demás grupos

Ver pista de ayuda

Desplegada no es lo mismo que cubierta: depende de qué datos llegan.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Por qué hace falta un mapeo

2 El mismo dato con otro nombre Lab

3 Equipos que no pueden evaluar la regla Lab

4 Declarar el hueco de cobertura

Whoami-Labs Pro utiliza cookies