Anatomía de una regla de detección

Una regla Sigma es un archivo YAML. La documentación del formato pide tres campos: title (cómo se llama), logsource (en qué registro se busca) y detection (qué se busca). El resto son metadatos que hacen la regla mantenible: id, status, description, author, date, modified, references, tags, falsepositives y level.

La separación importa. logsource dice de dónde sale el evento, con campos como product y service. detection dice cómo es el evento que interesa. Una regla bien escrita no menciona el nombre de ninguna consola ni de ningún sistema concreto: eso lo resuelve quien la convierte a una consulta.

Abre regla-clave-fuera-de-rotacion.yml. Los metadatos cuentan la historia de la regla: quién la escribió, cuándo, y cuándo se tocó por última vez. El campo date es el de creación; modified es el de la última modificación, y es el que se mira para saber si una regla está al día.

Dentro de detection cada bloque con nombre propio (una «selección») describe un grupo de campos y valores que deben coincidir a la vez. La línea condition combina esos nombres con and, or y not, y admite paréntesis. Es el sitio donde la regla se rompe más fácil: si la condición cita un nombre que no existe, la regla no significa nada y un conversor se niega a procesarla.

Abre regla-borrador-inicio-sin-segundo-factor.yml. El borrador lleva días sin desplegarse y nadie sabe por qué.

Sigma prevé un campo status con cinco valores: stable, test, experimental, deprecated y unsupported. Es una promesa sobre la madurez de la regla. Una regla experimental o en test todavía puede producir más ruido del esperado; una stable ya pasó por un periodo de uso.

Abre catalogo-reglas.csv. Cuenta cuántas reglas están todavía sin madurar: las que están en test o en experimental.

El campo falsepositives es una lista de situaciones legítimas que pueden activar la regla. No sirve para que la regla calle: sirve para que quien recibe la alerta sepa qué preguntar primero. Una regla de producción sin esa lista obliga a descubrirlo en medio de un turno de guardia.