Sigma: de la regla a la consulta

La regla describe cada selección con pares campo y valor. Si un campo lleva una lista de valores, la regla coincide con cualquiera de ellos (es un «o»). Con el modificador |all el campo debe coincidir con todos. Otros modificadores se escriben después del nombre del campo: |contains, |startswith, |endswith, |re para una expresión regular, |cidr para un rango de red.

Entre selecciones, condition combina con and, or y not. Un patrón frecuente es una selección que describe lo que se busca y un filtro que describe lo legítimo que se descarta: seleccion and not filtro.

Los campos de una regla Sigma siguen el vocabulario del registro de origen. El sistema donde se consulta puede haber guardado esos registros con otros nombres de columna. El conversor usa una tabla de correspondencias (a veces llamada «pipeline» o canalización de procesamiento) para renombrar los campos. Quien mantiene el lago de seguridad la escribe; quien escribe la regla no debería cambiar la regla por eso.

Abre mapa-de-campos-v2.csv: es la versión vigente.

Un campo que el mapa no conoce no hace fallar al conversor: se queda tal cual en la consulta. El motor de consultas busca entonces una columna que no existe y, según el sistema, devuelve cero filas o un error. Cero filas se lee como «no pasó nada», que es lo peor que puede ocurrir con una regla de detección.

Compara mapa-de-campos-v1.csv con la regla y con consulta-con-mapa-v1.sql.

Esa es la idea de fondo de Sigma: se guarda la regla, no la consulta. Si el sistema cambia, se cambia el mapa y se vuelve a convertir; la regla sigue siendo la misma. Quien guarda la consulta convertida en lugar de la regla pierde ese beneficio: cada cambio de sistema lo obliga a reescribir a mano.

Abre consulta-con-mapa-v2.sql y compárala con la regla.

Antes de desplegar una regla conviene hacer lo que haría el motor, a mano y sobre una muestra pequeña. muestra-eventos-lago.csv trae diez eventos del lago ya con los nombres de columna del mapa v2. Aplica la regla completa: el evento debe ser el de inicio de sesión, sin segundo factor, y no debe pasar por el filtro de las identidades federadas.