Una regla de correlación es la lógica que el SIEM evalúa para decidir cuándo generar una alerta. Su poder está en cruzar varios eventos —de distintas fuentes y a lo largo del tiempo— para detectar un patrón que un evento aislado no revela.
Ejemplos clásicos
| Regla | Qué detecta |
|---|---|
| N logins fallidos + 1 exitoso | Fuerza bruta lograda |
| Misma cuenta desde 2 países en minutos | Viaje imposible (cuenta comprometida) |
| Usuario normal ejecuta comandos de admin | Escalada de privilegios |
| Conexión saliente repetitiva a destino raro | Posible C2 / beaconing |
Una buena regla codifica una conducta de ataque: traduce "así se ve un atacante haciendo X" a una condición evaluable.
El equilibrio (lo más difícil)
- Falso negativo: la regla no detecta un ataque real. Es lo más peligroso (pasa desapercibido).
- Falso positivo: la regla salta con actividad legítima. Genera ruido y desgasta al analista.
El reto es afinar las reglas para detectar lo malo sin ahogar al equipo en alarmas inútiles. Demasiado estrictas dejan huecos; demasiado laxas, fatiga de alertas.
Apoyo: MITRE ATT&CK
Las reglas suelen mapearse a MITRE ATT&CK para asegurarse de cubrir las técnicas que usan los adversarios reales y medir la cobertura de detección.
El gran enemigo operativo del SOC es el exceso de alarmas falsas. Cómo se gestionan los falsos positivos (y cómo ayudan los dashboards) es el próximo tema.