Una detección es útil cuando sus condiciones coinciden con la telemetría que realmente recoges. Una regla convincente puede usar campos que tu pipeline no produce o coincidir con tareas administrativas normales.
Aporta un conjunto pequeño de eventos sintéticos o saneados y el formato de regla. Usa la conversación para describir el comportamiento, estudiar falsos positivos y preparar la validación. La publicación y ejecución siguen en tu propio flujo de detección.
Material de partida
- El comportamiento que detectar, con evidencia de un aviso, una nota de análisis o un evento observado.
- El formato de regla y los nombres exactos de campos y fuentes de eventos disponibles.
- Un evento que debe coincidir y varios contraejemplos benignos, sin valores sensibles.
Analiza las evidencias
- Describe el comportamiento sin depender del nombre de una familia de malware. Identifica los campos que pueden expresarlo.
- Pide un borrador vinculado al esquema aportado. Marca explícitamente campos ausentes y sintaxis no compatible.
- Prepara pruebas: coincidencia esperada, caso parecido sin coincidencia, tarea administrativa habitual y evento con campos ausentes.
- Valida sintaxis y resultados en el motor real. Documenta dependencias de datos, supuestos de ajuste y comportamientos que la regla no cubre.
Un prompt para adaptar
Adáptalo a tus pruebas
Redacta una detección para el comportamiento de estos eventos saneados usando solo el esquema aportado. Explica cada condición. Incluye eventos positivos, parecidos sin coincidencia y administrativos benignos; identifica falsos positivos probables y telemetría necesaria. No inventes campos ni afirmes que la regla se publicó o probó.
Comprueba el resultado
- El motor acepta la sintaxis y todos los campos citados existen en la telemetría recogida.
- Los casos positivos y benignos producen los resultados esperados en el motor real.
- La documentación indica alcance, dependencias, decisiones de ajuste y puntos ciegos conocidos.
Lleva tus evidencias a una conversación y trabaja en la siguiente pregunta.
Abrir chat