Reglas de detección: abuso, volumen y patrones

Sigma es un formato abierto, mantenido por la comunidad SigmaHQ, para escribir reglas de detección en YAML sin atarse a un SIEM concreto: la regla declara de qué fuente lee (logsource), qué busca (detection, con una o varias selecciones y una condition que las combina), sus falsos positivos conocidos y su nivel. Después se traduce al lenguaje de consulta de cada SIEM.

Sobre los eventos de un asistente se usan sobre todo tres familias. La regla de un solo evento busca algo que ya es raro por sí mismo, como una herramienta que no debería llamarse nunca desde el chat. La de volumen cuenta eventos de un mismo sujeto en una ventana y avisa al pasar un umbral; en Sigma es una regla de correlación de tipo event_count. La de secuencia exige que varias cosas pasen juntas o en orden, agrupadas por algo común; en Sigma, una correlación de tipo temporal.

Una regla que no se dispara puede significar que no pasó nada o que la regla no puede ver nada. La segunda es más frecuente de lo que parece: un campo mal escrito, un nombre que existía en la fuente cruda pero no en el esquema común, un valor con mayúsculas distintas. El SIEM no da error, simplemente nunca encuentra coincidencias. Por eso una regla nueva se prueba contra eventos donde se sabe que lo buscado sí ocurrió.

Compara los campos de cada regla con el esquema común y con la comprobación de la prueba.

Antes de activar una regla de volumen se mide qué habría hecho con datos reales: cuántos sujetos la habrían disparado y cuántas veces. Un umbral que salta con cientos de clientes es ruido; uno que no salta con ninguno puede estar demasiado alto. La prueba no reemplaza la revisión de cada disparo, pero da el orden de magnitud.

Traducir una regla de Sigma a KQL (o a cualquier otro lenguaje) es una fuente clásica de errores, porque una diferencia pequeña cambia la pregunta. La más peligrosa está en el agrupamiento: contar por cliente y contar por petición parecen lo mismo, pero quien reparte sus abusos en muchas peticiones cortas no llega nunca al umbral si se cuenta por petición.

Compara el bloque group-by de la regla Sigma con la línea summarize de su traducción.

La tentación con un asistente es detectar el abuso por las palabras: una lista de frases típicas de inyección. Esa lista falla en los dos sentidos: se esquiva con otra redacción u otro idioma, y salta con clientes que pegan textos técnicos inocentes. Una regla de secuencia que une un veredicto del filtro con una acción con efecto en la misma petición mira hechos, no palabras, y solo avisa cuando hay algo que revisar.