Reglas de detección e inteligencia de amenazas
Detectar es escribir reglas que convierten ruido en alertas, y nutrirlas con inteligencia (IOCs, TTPs). Aquí aprendes Sigma (reglas portables), YARA (cazar malware por patrones) y las plataformas de Threat Intel (MISP, OpenCTI) — con reglas que escribes tú.
📝El lenguaje común: Sigma
Sigma es el "YAML de las detecciones": escribes la regla UNA vez y la conviertes al lenguaje de tu SIEM (Splunk SPL, Elastic, Wazuh...). Portable y compartible.
title: PowerShell codificado (sospechoso)
logsource: {product: windows, category: process_creation}
detection:
sel: {Image|endswith: \\powershell.exe, CommandLine|contains: ' -enc '}
condition: sel
level: highConviértela con sigma convert (sigma-cli, ya en tu Kali) al backend que uses.
🦠Cazar malware por patrones: YARA
YARA describe familias de malware con cadenas y lógica booleana. La "navaja suiza" del analista.
rule WebShell_Generica {
strings:
$a = "eval(" nocase
$b = "base64_decode(" nocase
$c = "$_POST["
condition: 2 of them
}🌎Threat Intelligence: dar contexto
| MITRE ATT&CK | el marco de TÁCTICAS y TÉCNICAS. Mapea cada detección a una técnica (T1059, T1110...). |
| MISP | plataforma para compartir IOCs (hashes, IPs, dominios) entre equipos/comunidad. |
| OpenCTI | conocimiento estructurado de amenazas (actores, campañas, TTPs) conectado a ATT&CK. |
| Sigma HQ / Sigma rules | repositorio comunitario de miles de reglas Sigma listas. |
| Feeds (abuse.ch, AlienVault OTX) | listas de IOCs frescos para enriquecer tus alertas. |
⚠Fallos típicos y solución
3 of them), añade condiciones de tamaño/magic y ancla por offset.💡Trucos
- Sube por la Pirámide del Dolor: hashes (fácil de cambiar para el atacante) → IPs → dominios → herramientas → TTPs (lo que más le duele cambiar). Detecta comportamiento, no solo hashes.
- Versiona tus reglas (Sigma/YARA) en git con tests: detección como código.
- Mapea cobertura con ATT&CK Navigator para ver tus huecos.
🎯🎯 Lab puntuable: escribe tus detecciones
Ahora tú. Escribe una regla Sigma que cace el PowerShell -enc (y descódificalo) y una regla YARA que detecte un webshell en un set de ficheros. 2 retos, 50 puntos.