Bienvenida al curso

El SOC de Cooperativa Pacífico Sur, una entidad financiera ficticia de Pérez Zeledón, escribió una regla excelente en la consola del SIEM. Funcionó durante meses, hasta que una actualización reinició la configuración y la detección desapareció sin que nadie se enterara. No había copia, ni historia de cambios, ni quién la revisara. La regla vivía en un solo clic.

Bienvenido a Detección como código: Sigma, pruebas y CI. Aquí va a aprender a tratar cada detección como lo que es: software. Un archivo de texto que se escribe, se versiona, se prueba, se revisa y se despliega. Las reglas dejan de vivir en la consola de una sola persona y pasan a un repositorio que todo el equipo puede leer, mejorar y recuperar.

Qué va a lograr

• Explicar por qué la detección como código escala mejor que editar reglas en la consola del SIEM.
• Recorrer el ciclo de vida de una detección y medir su cobertura con MITRE ATT&CK.
• Escribir reglas Sigma con logsource, detection y condition, elegir niveles y declarar falsos positivos.
• Convertir una regla con sigma-cli a la consulta de su SIEM.
• Probar una detección emulando la técnica en una VM propia y validando que dispara contra telemetría de ejemplo.
• Diseñar un pipeline de integración continua que valide, convierta y publique sus reglas.

Para quién es y qué necesita

Es para analistas de SOC e ingenieros de detecciones que ya escriben reglas y quieren dejar de perderlas, duplicarlas o desplegarlas sin probar. Conviene haber hecho Ingeniería de detecciones, que presenta Sigma y el ciclo de vida, y Git y GitHub para ciberseguridad, porque todo el curso vive en un repositorio. No es un curso de programación.

Para practicar necesita Python 3 para instalar sigma-cli en un entorno virtual, Git con una cuenta propia y, para el módulo 3, una máquina virtual de evaluación con red aislada donde emular técnicas sin riesgo.

Cómo está organizado

Módulo	Qué aprende	Laboratorio
1. Por qué detección como código	Del clic al repositorio, ciclo de vida y cobertura ATT&CK	Diseñar el flujo de vida de una detección
2. Escribir reglas Sigma	Estructura, niveles, falsos positivos y conversión con sigma-cli	Una regla Sigma y su conversión
3. Probar las detecciones	Emular técnicas en VM propia, validar que la regla dispara, pruebas unitarias	Validar una detección contra telemetría de ejemplo
4. Desplegar con CI	Repositorio, revisión por pares, pipeline que valida, convierte y publica	Definir el pipeline de CI de un repositorio
Evaluación	6 preguntas sobre todo el curso	Aprueba con 70 %

Cómo aprovecharlo

• Lecciones: escriba las reglas Sigma a mano en vez de copiarlas. YAML no perdona una sangría, y el oficio se gana corrigiendo sus propios errores.
• Preguntas rápidas: al final de casi cada lección hay una pregunta de repaso para fijar la idea clave.
• Laboratorios: cada módulo cierra con un laboratorio que termina en una misión que usted mismo puede comprobar. El del módulo 2 produce una regla que el módulo 3 prueba y el módulo 4 despliega.
• Evaluación final: seis preguntas; aprueba con 70 %. Al aprobarla recibe el certificado y la insignia del curso.

Tiempo estimado

El curso completo toma unas cuatro horas, con cerca de hora y media en laboratorios. Le sugerimos una lección por sesión.