Qué es la detección como código

En Ingeniería de detecciones aprendió a pensar una regla como un producto: con objetivo, dueño, pruebas y ciclo de vida. Este curso toma esa idea y la lleva a la práctica de ingeniería: cómo se escribe, se guarda, se prueba y se despliega ese producto sin depender de la memoria de nadie. A eso se le llama detección como código, en inglés detection as code.

Dónde estamos

Se asume que ya sabe qué es una detección, que conoce la estructura básica de una regla Sigma y que ha usado Git para versionar archivos. Lo nuevo en este nivel no es la regla en sí, sino el proceso que la rodea: el repositorio, la revisión, las pruebas automáticas y el despliegue reproducible. Si algo de Sigma o de Git le quedó flojo, repáselo antes de seguir; aquí se da por sabido.

La detección como código es la práctica de manejar las reglas de detección igual que el software: como archivos de texto en un repositorio con control de versiones, con cambios revisados por otra persona, validados de forma automática y desplegados por un proceso repetible. En una frase: la regla no vive en un clic de la consola, vive en un archivo que el equipo entero puede leer, criticar y recuperar.

No significa programar en un lenguaje nuevo ni abandonar su SIEM. Significa cambiar el centro de gravedad. Antes, la fuente de la verdad era la consola del SIEM y el repositorio era, en el mejor de los casos, una copia. Ahora la fuente de la verdad es el repositorio y el SIEM recibe lo que el repositorio publica.

Breve historia y contexto

La idea viene de una prestada: infrastructure as code, que a mediados de la década de 2010 convenció a los equipos de operaciones de describir servidores en archivos versionados en lugar de configurarlos a mano. En 2017 apareció Sigma, un formato abierto para escribir detecciones independientes del SIEM, y con él la pieza que faltaba: una regla portable que tiene sentido guardar en Git. Hacia 2019 y 2020, equipos como los de Palantir publicaron marcos para documentar detecciones, y la frase detection as code se volvió común en las charlas de SOC. Hoy el repositorio público SigmaHQ reúne miles de reglas comunitarias mantenidas exactamente así.

Por qué importa en ciberseguridad y en el trabajo

Editar reglas a mano en la consola trae problemas que cuestan incidentes:

Se pierden: una regla que vive en un clic desaparece con una migración, un error humano o la salida de quien la escribió.
No se revisan: nadie mira el cambio antes de que entre en producción, así que un filtro demasiado amplio abre un punto ciego sin que nadie lo note.
No se prueban: se despliega y se espera a ver si dispara, en lugar de comprobarlo antes.
No se auditan: cuando algo falla, no hay historia de quién cambió qué ni por qué.

Tratarlas como código ataca las cuatro causas a la vez. El repositorio da historia y copia; la solicitud de cambios da revisión; el pipeline da pruebas y despliegue reproducible. El analista de SOC, el ingeniero de detecciones y hasta el equipo de respuesta a incidentes trabajan sobre la misma fuente.

Dónde se usa

Lugar	Cómo aparece la detección como código
Repositorio Git	Reglas Sigma en archivos `.yml`, una por detección
Solicitud de cambios	Cada regla nueva o ajuste se revisa antes de mezclarse
Pipeline de CI	Valida, convierte y publica las reglas al mezclar
SIEM o EDR	Recibe las consultas convertidas desde el repositorio
Mapa de cobertura	Un archivo que muestra qué técnicas de ATT&CK están cubiertas

Conceptos clave

Concepto	Qué significa
Detección como código	Manejar las reglas como software versionado, revisado, probado y desplegado
Sigma	Formato abierto en YAML para describir detecciones sin atarse a un SIEM
Repositorio de detecciones	Carpeta en Git con las reglas y su documentación
Solicitud de cambios	Propuesta de cambio que otra persona revisa antes de aceptar
Integración continua (CI)	Proceso automático que valida y publica al mezclar cambios
Cobertura	Qué técnicas de ataque tiene cubiertas y con qué calidad
Emulación	Reproducir una técnica de forma controlada para probar una regla