Redacción de reglas de detección y alertas de SIEM

Las reglas de detección son la lógica codificada en un SIEM que define qué condiciones constituyen una alerta de seguridad. Sin buenas reglas de detección, un SIEM no es más que un costoso sistema de almacenamiento de registros. Las reglas bien diseñadas identifican comportamientos específicos de los atacantes —credential stuffing, movimiento lateral y exfiltración de datos— sin activarse durante las operaciones normales. La ingeniería de detección es la disciplina de escribir, probar y mantener estas reglas de forma continua.

Toda regla de detección tiene componentes clave. Una fuente de datos especifica qué registros se consultan. Una condición de filtro especifica qué eventos coinciden. Un umbral o patrón define cuántos eventos o qué secuencia activa la alerta. Los metadatos incluyen la gravedad, la correspondencia con MITRE ATT&CK, la descripción y la respuesta recomendada. Las reglas bien documentadas ayudan a los analistas a comprender rápidamente qué significa una alerta y cómo responder cuando se activa.

Toda regla de detección equilibra la sensibilidad (detectar todos los verdaderos positivos) con la especificidad (evitar falsos positivos). Una regla muy sensible detecta todas las variantes de un ataque, pero genera un volumen enorme de ruido de alertas. Una regla muy específica se activa pocas veces, pero puede pasar por alto nuevas variantes de ataque. Una buena ingeniería de detección comienza con una especificidad alta para generar confianza en los analistas y después amplía progresivamente el alcance a medida que el ajuste reduce los falsos positivos y aumenta la confianza en la regla.

Las reglas basadas en umbrales se activan cuando el recuento de eventos supera un límite dentro de una ventana temporal. Son ideales para detectar ataques basados en volumen, como fuerza bruta, escaneo de puertos y DDoS. Parámetros clave: umbral de recuento (cuántos eventos), ventana temporal (en cuántos minutos) y campo de agrupación (por IP de origen, por usuario o por host). Los umbrales incorrectos provocan ruido de alertas o detecciones omitidas; ajústelos cuidadosamente mediante datos históricos de referencia.

Las reglas basadas en secuencias buscan una cadena ordenada específica de eventos, lo que resulta ideal para detectar patrones de ataque de varias etapas. Por ejemplo: correo electrónico de phishing recibido Y DESPUÉS archivo adjunto malicioso abierto Y DESPUÉS PowerShell iniciado por una aplicación de Office. Cada evento por separado puede ser benigno, pero la secuencia indica una intrusión. La mayoría de los SIEM modernos (Splunk, Sentinel y Elastic) admiten la coincidencia de secuencias con correlación temporal entre cadenas de eventos.

Sigma es un formato abierto e independiente del proveedor para escribir reglas de detección que pueden convertirse a lenguajes de consulta específicos de cada SIEM (SPL para Splunk, KQL para Sentinel y Lucene para Elastic). La comunidad de seguridad comparte miles de reglas Sigma en GitHub, que abarcan técnicas comunes de ATT&CK. El uso de Sigma permite a las organizaciones adoptar detecciones de la comunidad sin reescribirlas manualmente para su plataforma SIEM específica, lo que acelera significativamente la cobertura de detección.

Las reglas de detección deben probarse antes de implementarse en producción. Entre las prácticas recomendadas se incluyen: pruebas unitarias con eventos sintéticos que representen situaciones tanto de verdaderos positivos como de falsos positivos, pruebas de reproducción mediante tráfico benigno registrado para medir la tasa de falsos positivos y ejercicios de red team en los que se espera que la regla se active durante simulaciones controladas de ataques. Herramientas como Atomic Red Team proporcionan pequeños scripts de prueba que simulan de forma segura técnicas específicas de ATT&CK.

Después de implementar una regla, es necesario ajustarla continuamente. Entre las técnicas habituales de ajuste se incluyen: listas de exclusión para procesos o cuentas conocidos como legítimos que activan la regla de forma válida, inclusión en listas de permitidos de IP de origen específicas (escáneres y herramientas de monitorización), ajuste de umbrales según las tasas de referencia observadas y adición de condiciones de contexto (alertar solo si el host también es accesible externamente). Documente cada exclusión junto con su justificación para que los analistas futuros comprendan por qué existe.

Las reglas de detección deben incluir niveles de gravedad que orienten la priorización de los analistas. Niveles habituales: Crítica: explotación activa, ransomware y compromiso del controlador de dominio. Alta: movimiento lateral, extracción de credenciales y comunicación C2. Media: reconocimiento sospechoso y vulneraciones de políticas. Baja/Informativa: eventos inusuales, pero no inmediatamente peligrosos, que conviene seguir. La gravedad debe corresponderse con el impacto empresarial, no solo con la gravedad técnica.

Las reglas de detección tienen un ciclo de vida que debe gestionarse activamente. Las reglas quedan obsoletas cuando cambia el entorno (por ejemplo, al implementar software nuevo o cambiar los rangos de IP) y generan falsos positivos. También pueden pasar por alto nuevas técnicas de ataque a medida que evolucionan los adversarios. Una práctica recomendada es mantener las reglas en control de versiones (git), revisarlas y actualizarlas trimestralmente, vincular cada regla al menos con una técnica de ATT&CK y medir la eficacia de las reglas (activaciones por semana y tasa de verdaderos positivos) para retirar o mejorar las reglas de bajo rendimiento.

Un mapa de cobertura de detección superpone las reglas de detección existentes sobre la matriz MITRE ATT&CK para visualizar las brechas de cobertura. Cada técnica cubierta por al menos una regla se marca en verde; las técnicas no cubiertas, en rojo. Esta representación visual muestra qué fases del ataque (por ejemplo, Persistencia y Exfiltración) carecen de cobertura de detección, lo que ayuda a los equipos a priorizar el desarrollo de nuevas reglas. Las revisiones periódicas de cobertura garantizan que el programa de detección siga el ritmo de la evolución de las técnicas de los adversarios.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) tratados en esta lección.

En esta lección ha aprendido que: las reglas de detección codifican comportamientos específicos de los atacantes como condiciones de alerta en el SIEM; las reglas basadas en umbrales y secuencias abordan distintos tipos de patrones de ataque; y Sigma proporciona un formato portable para compartir detecciones en la comunidad de seguridad. A continuación, exploraremos UEBA y el análisis de comportamiento para detectar amenazas internas y cuentas comprometidas.