Bienvenida al curso · Ingeniería de detecciones

Reporte semanal del SIEM de una empresa ficticia, ordenado por volumen:

Regla                                         Alertas 7d   Cerradas como FP
Certutil descargando archivos de internet         4 312              4 309
Inicio de sesión fuera de horario                   880                861
Nuevo servicio instalado                            143                140

Casi todas las alertas de la primera regla venían de un agente de inventario que usaba certutil para bajar sus actualizaciones. El equipo, cansado, la desactivó un viernes. Tres semanas después alguien ejecutó en la laptop de una contadora certutil -urlcache -split -f contra un dominio recién registrado, y no sonó nada. La regla no era mala: le faltaba una excepción acotada a ese agente, y alguien que la mantuviera.

Bienvenido a Ingeniería de detecciones. Aprenderá a tratar cada detección como un pequeño producto: objetivo claro, datos que la alimentan, lógica portable, pruebas, revisión y un responsable de que siga funcionando.

Qué va a lograr

Explicar el ciclo de vida de una regla y medir su calidad con métricas como la precisión.
Identificar la telemetría de Windows, Linux y red que necesita cada detección, y habilitarla con auditpol, Sysmon y auditd.
Normalizar campos a un esquema común y medir la cobertura con MITRE ATT&CK.
Escribir reglas Sigma y convertirlas con sigma-cli a consultas de SIEM.
Probar reglas en una VM, ajustar falsos positivos sin abrir puntos ciegos y mantenerlas en Git con revisión.

Para quién es y qué necesita

Es para analistas L1 cansados de cerrar alertas inútiles y para gente de infraestructura que se acerca al SOC. Conviene haber hecho SIEM con Wazuh: fundamentos; ayudan Introducción al SOC: su primer turno como analista y Git y GitHub para ciberseguridad. No necesita programar.

Necesita Python 3 para instalar sigma-cli en un entorno virtual, Git y, para el módulo 4, una VM Windows de evaluación con red aislada (la píldora Su primera máquina virtual en 40 minutos le guía).

Cómo está organizado

Módulo	Qué aprende	Laboratorio
1. Qué es la ingeniería de detecciones	Definición, historia, ciclo de vida, detección como código y métricas	Evaluar las cuatro reglas más ruidosas
2. Los datos: telemetría, normalización y cobertura	Registro de seguridad, Sysmon, auditd, DNS, proxy, ECS y ATT&CK Navigator	Normalizar eventos y mapear la cobertura
3. Escribir reglas Sigma	Anatomía de una regla, modificadores, condiciones y `sigma-cli`	Tres reglas Sigma contra logs ficticios
4. Probar y mantener detecciones	Pruebas en VM, Atomic Red Team, ajuste de falsos positivos, Git y fichas ADS, más la conclusión	Ciclo completo hasta la solicitud de cambios
Evaluación	6 preguntas sobre todo el curso	Aprueba con 70 %

Cómo aprovecharlo

Escriba las reglas Sigma a mano. YAML no perdona una sangría de más, y los errores de sigma check parecen crípticos hasta que corrige cinco o seis; después ya sabe dónde mirar.

El laboratorio del módulo 2 parece el menos lucido y es el que más cuesta: normalizar eventos de fuentes distintas es trabajo campo por campo. El del módulo 4 toma una de las reglas que usted escribió en el 3 y la lleva por todo el ciclo, del ajuste de un falso positivo a la solicitud de cambios en Git. Tome una instantánea de la VM antes de cada prueba de Atomic Red Team.

Al aprobar la evaluación final recibe el certificado y la insignia.

Tiempo estimado

Unas 5 horas, hora y media en laboratorios.