Elastic Security abrió su repositorio de reglas de detección al mundo. Haremos reglas abiertas junto con la comunidad, y agradecemos tus detecciones impulsadas por la comunidad. Es una oportunidad de compartir conocimiento colectivo sobre seguridad.

En Elastic, creemos en el <a href="/es/about/why-open-source">poder del open source</a> y comprendemos la importancia de la comunidad. Al priorizar la comunidad, nos aseguramos de crear el mejor producto posible para los usuarios. Con Elastic&nbsp;Security, <a href="/es/security">dos de nuestros objetivos principales</a> son detener las amenazas a escala y equipar a todos los analistas. Hoy abrimos un nuevo repositorio de GitHub, <a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a>, para trabajar junto con la comunidad de seguridad y detener amenazas a mayor escala.
El lanzamiento del <a href="/es/blog/elastic-siem-detections">motor de detección</a> en Elastic&nbsp;Security aportó la detección de amenazas automática al Elastic&nbsp;Stack. Desde el lanzamiento inicial del motor de detección, el equipo de Inteligencia y analíticas de Elastic&nbsp;Security ha agregado más de 50&nbsp;reglas adicionales, lo que aumentó la visibilidad de técnicas de los atacantes en sistemas operativos Linux, macOS y Windows. A medida que continuamos expandiendo la cobertura, verás mayor amplitud de detecciones, que cubren dominios nuevos como servicios en el cloud y comportamiento del usuario.
En los últimos lanzamientos, usamos un repositorio interno para gestionar las reglas del motor de detección. Mejoramos iterativamente nuestros procedimientos de pruebas agregando pruebas automáticas para contribuciones nuevas que validan la sintaxis del lenguaje de búsqueda de Kibana&nbsp;(KQL), el uso del esquema y otros metadatos. Nuestro desarrollo de reglas maduró, por lo que podemos movernos rápido sin romper nada.
Al abrir nuestro repositorio de GitHub <a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a>, Elastic&nbsp;Security desarrollará reglas abiertas junto con la comunidad, y agradecemos tus detecciones impulsadas por la comunidad. Esta es una oportunidad para que todos compartamos nuestro conocimiento colectivo, aprendamos del otro y tengamos un impacto trabajando juntos.
 <h2>¿Qué hay en este repositorio nuevo?</h2>En el repositorio de GitHub <a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a>, puedes encontrar reglas escritas para Elastic&nbsp;Security, con cobertura para muchas técnicas de <a href="https://attack.mitre.org/">MITRE ATT&CK</a>®. Nuestra lógica de reglas actual está escrita principalmente en <a href="/guide/en/kibana/master/kuery-query.html">KQL</a>, y al aprovechar <a href="/guide/en/ecs/current/index.html">Elastic Common Schema (ECS)</a>, solo necesitamos escribir las reglas una vez. A través del uso de categorías y campos definidos en ECS, las reglas trabajan automáticamente con los logs de Beats y otras fuentes de datos que se mapean correctamente a ECS.
Dentro de la carpeta <a href="https://github.com/elastic/detection-rules/tree/main/rules">rules/</a>, las reglas se almacenan en archivos TOML y se agrupan por plataforma. Intentamos mantenerlo simple con una jerarquía plana para que sea más fácil encontrar y agregar reglas nuevas. Si buscas reglas para Windows únicamente, navega a <a href="https://github.com/elastic/detection-rules/tree/main/rules/windows">rules/windows</a>. Si aún se te complica encontrar una regla o quieres buscar en todas las reglas, puedes usar nuestra CLI ejecutando el comando <code>python -m detection_rules rule-search</code>, que mostrará los archivos con metadatos que coincidan.
Cada regla contiene varios campos de metadatos además de la búsqueda en sí. Esto captura información como el título, la descripción, el nivel de ruido, los mapeos de ATT&CK, las etiquetas y el intervalo de programación. Tenemos algunos campos adicionales para ayudar a los analistas que realizan la priorización, describen falsos positivos conocidos o pasos útiles para una investigación. Para obtener más información sobre los metadatos relacionados con las reglas, puedes ver&nbsp;la <a href="/guide/en/siem/guide/current/rules-ui-create.html#create-rule-ui">guía de creación de reglas de Kibana</a> o nuestro <a href="https://github.com/elastic/detection-rules/blob/main/CONTRIBUTING.md#rule-metadata">resumen de metadatos de reglas</a> en la guía de contribución.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt683eae32569f7543/5efb61e38304ac0dbc4a5a0e/detection-rules-repo-blog-msbuild.png" data-sys-asset-uid="blt683eae32569f7543" alt="detection-rules-repo-blog-msbuild.png">
<figcaption>Vista previa del archivo detrás de la regla “MsBuild Making Network Connections”
</figcaption> 
<h2>¿Cómo llegan estas reglas a mi motor de detección?</h2>Si usas nuestro <a href="/es/cloud/">servicio gestionado de Elastic&nbsp;Cloud</a> o la distribución predeterminada del software del Elastic&nbsp;Stack que incluye el <a href="/es/subscriptions">conjunto completo de características gratuitas</a>, obtendrás las reglas más recientes la primera vez que navegues al motor de detección. Cuando actualizas, el motor de detección reconoce que se agregaron o cambiaron reglas y te <a href="/guide/en/siem/guide/current/rules-ui-create.html#load-prebuilt-rules">solicita</a> decidir si deseas actualizarlas. Sigue estos pasos después de actualizar y obtendrás la copia más reciente de las reglas.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt1ca938b9d35957ee/5efb6250f715ab0f6bc3dea1/detection-rules-repo-blog-msbuild-network-connections.png" data-sys-asset-uid="blt1ca938b9d35957ee" alt="detection-rules-repo-blog-msbuild-network-connections.png">
<figcaption>La misma regla (“MsBuild Making Network Connections”) cargada en el motor de detección
</figcaption> 
<h2>¿Quién usará este repositorio?</h2>Este repositorio es donde el equipo de Inteligencia y analíticas de Elastic&nbsp;Security desarrollará reglas, creará tickets de problemas, gestionará solicitudes de extracción y definirá las versiones objetivo. Al hacer el repositorio público, invitamos a todos los contribuyentes externos a este flujo de trabajo. Esto les dará visibilidad en nuestro proceso de desarrollo y una ruta clara para el lanzamiento de las reglas con el motor de detección.
Cuando estés listo para contribuir, firma el <a href="/es/contributor-agreement">acuerdo de licencia de contribuyente&nbsp;(CLA)</a> de Elastic. Es estándar para todos los repositorios de GitHub de Elastic y significa que podemos distribuir con libertad tu código a los usuarios de Elastic.
 <h2>¿Cómo abordamos la detección de amenazas?</h2>En general, tendemos a preferir las detecciones que se enfocan en los comportamientos del atacante. Esto suele significar que nos enfocamos en las técnicas de ATT&CK. Esto puede significar que se necesita más investigación y esfuerzo para descubrir cómo funciona una técnica antes de crear una regla. Pero al adoptar este enfoque, podemos detectar y detener mejor los ataques actuales y futuros, en lugar de solamente los pasados.
Adoptar un enfoque del comportamiento también significa que necesitamos varios tipos de reglas. Algunas pueden detectar eventos atómicos, otras pueden requerir agregar varios eventos o buscar desviaciones por sobre un umbral. Con el <a href="https://eql.readthedocs.io">lenguaje de búsqueda de eventos&nbsp;(EQL)</a>, podremos escribir reglas que busquen secuencias de comportamiento que abarquen varios eventos.
Por supuesto, comprendemos que en ocasiones puede ser difícil que todos los usuarios detecten por comportamiento una técnica. En ese caso, desde ya, siéntete libre de agregar una regla con una naturaleza más similar a una firma y escrita para una herramienta o comportamiento específicos.
Para ver un análisis más extenso sobre qué hace a una decisión madura, lee sobre la filosofía <a href="https://github.com/elastic/detection-rules/tree/main/PHILOSOPHY.md">del repositorio de reglas de detección</a>.
 <h2>¿Por qué necesitamos un repositorio nuevo?</h2>Si ya has compartido reglas públicas, probablemente conozcas otros repositorios de GitHub reconocidos, como <a href="https://github.com/mitre-attack/car">Cyber Analytics Repository (CAR)</a> de MITRE, <a href="https://github.com/Neo23x0/sigma">Sigma</a> o incluso <a href="https://eqllib.readthedocs.io">EQL Analytics Library</a> basado en el EQL de Elastic. Quizá te preguntes: ¿por qué necesitamos otro repositorio? ¿Por qué no usar los que ya existen?
Como era de esperar, la mejor respuesta a esta pregunta comienza con otra pregunta: ¿por qué existen otros repositorios? Tanto CAR como Sigma son deliberadamente independientes del lenguaje o la plataforma, y a veces de la fuente de datos. Por otra parte, EQL Analytics Library se escribió con un lenguaje específico en mente.
Con nuestro repositorio de reglas de detección nuevo, apuntamos a un propósito ligeramente diferente. Nuestro objetivo es brindar a los usuarios de Elastic&nbsp;Security las mejores detecciones posibles que funcionen en varias fuentes de datos. Usamos ECS como el gran ecualizador de esquemas, lo que posibilita escribir una regla una vez que aplique a varias fuentes de datos.
Como el Elastic&nbsp;Stack soporta varios lenguajes, nuestras reglas deben reflejar eso. Los lenguajes de búsqueda generalmente se desarrollan para resolver diferentes tipos de problemas, y no deberíamos limitar a los desarrolladores de reglas a un solo lenguaje si otro funciona mejor. Actualmente tenemos reglas de <a href="/guide/en/kibana/master/kuery-query.html">KQL</a> y <a href="/guide/en/kibana/current/lucene-query.html">Lucene</a>, además de reglas que usan trabajos de <a href="/guide/en/machine-learning/6.8/ml-jobs.html">detección de anomalías con Machine Learning</a> en el repositorio. Estamos <a href="https://github.com/elastic/elasticsearch/issues/49581">trabajando duro</a> para incorporar <a href="https://eql.readthedocs.io">EQL</a> al Elastic&nbsp;Stack y a nuestro repositorio.
También podemos asegurarnos de que se sigan las mejores prácticas para un rendimiento óptimo de Elasticsearch. Por ejemplo, buscar <code>process.path:*\\cmd.exe</code> requiere realizar una comprobación del comodín, que es más costoso que comprobar una simple palabra clave. En lugar de búsquedas con comodines al inicio, recomendamos usar <code>process.name:cmd.exe</code>, que dará como resultado un mejor rendimiento y proporcionará los resultados más exactos. De forma similar, ECS también contiene el campo <code>process.args</code>, que es una versión parseada de <code>process.command_line</code>. Recomendamos usar el campo parseado en su lugar, porque nos da un mejor rendimiento y significa que somos menos propensos a <a href="https://github.com/elastic/detection-rules/blob/main/PHILOSOPHY.md#does-a-rule-have-trivial-evasions">evasiones de espacios en blanco triviales o basadas en comillas</a>. Todos ganamos.
 <h2>¿Puedo agregar reglas de otro repositorio?</h2>Dentro de tu propio entorno, puedes agregar reglas en tu propio motor de detección siempre y cuando tu rol de Kibana tenga los permisos adecuados. Si deseas agregar reglas al repositorio <a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a>, la respuesta, como es de esperar, es: <a href="/es/blog/it-depends">Depende...</a>. Siempre y cuando una regla pueda sublicenciarse bajo la licencia de Elastic, es válido. Generalmente, los requisitos son bastante simples: retener los autores originales en la matriz <code>rule.author</code> y actualizar el archivo <code>NOTICE.txt</code> según corresponda para hacer mención a los autores originales. No queremos el crédito del trabajo de otro, ayúdanos a ser minuciosos.
Para obtener más información sobre cómo abordamos las licencias en el repositorio, visita la sección <a href="https://github.com/elastic/detection-rules#licensing">Licensing</a> (Licencias) del archivo README (Léeme).
 <h2>¿Cómo puedo contribuir?</h2>¿Ansioso por compartir tu lógica de regla? Únete a <a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a> en GitHub. Allí detallamos las instrucciones para navegar en el repositorio, bifurcar y clonar, y crear una regla. Incluimos una herramienta de línea de comando para la edición masiva de archivos y para facilitar la creación de reglas nuevas. Cuando estés listo para agregar una regla nueva al repositorio, ejecuta <code>python -m detection_rules create-rule</code> y se te pedirán los metadatos necesarios. Recomendamos usar la CLI cuando sea posible, ya que disminuye los errores de copiar y pegar que ocurren cuando reutilizamos contenidos de un archivo TOML de otra regla o plantilla.
Cuando tu regla está en buen estado, puedes ejecutar el comando <code>python -m detection_rules test</code> para realizar pruebas de unidad de forma local, lo que valida la sintaxis, el esquema de uso, etc. Después, crea la solicitud de extracción y alguien del equipo de Inteligencia y analíticas revisará la contribución. Si solicitamos algún cambio, trabajaremos contigo para realizar los cambios recomendados.&nbsp;
Si tienes una buena idea para una regla, pero quieres colaborar con nosotros al respecto u obtener comentarios, siéntete libre de crear un ticket de <a href="https://github.com/elastic/detection-rules/issues/new/choose">Regla nueva</a>. Esperamos ayudarte y hacer lluvia de ideas juntos.
Para obtener más información, echa un vistazo a la guía de <a href="https://github.com/elastic/detection-rules/tree/main/CONTRIBUTING.md">contribución</a>.
 <h2>¿Qué sigue?</h2>Bienvenido a nuestro flujo de trabajo y repositorio de reglas nuevas. Te alentamos a hacer contribuciones y esperamos ver tu nombre en el campo <code>rule.author</code>. El repositorio de reglas de detección continuará evolucionando con el resto de Elastic&nbsp;Security, y estamos ansioso por lo que vendrá.
Si deseas rastrear el desarrollo de EQL en la pila, suscríbete a este <a href="https://github.com/elastic/elasticsearch/issues/49581">ticket de GitHub</a>. O echa un vistazo a la <a href="/guide/en/elasticsearch/reference/master/eql.html">documentación en curso</a> para saber qué está haciendo el equipo de Elasticsearch.
Si tienes comentarios o preguntas sobre escribir reglas o navegar en nuestro repositorio de GitHub de <a href="https://github.com/elastic/detection-rules">reglas de detección</a> nuevo, <a href="https://github.com/elastic/detection-rules/issues/new/choose">crea un ticket</a> en GitHub, recurre al <a href="https://discuss.elastic.co/c/security">foro de discusión</a> con la etiqueta detection-rules o encuéntranos en el canal #detection-rules de <a href="http://ela.st/slack">Elastic Slack Community</a>.

blog-banner-gears-steel.jpg

blog-thumb-gears-steel.jpg

Elastic Security opens public detection rules repo

Elastic Security abre un repositorio público de reglas de detección

Start free trial

Blog Footer CTA

Sign up for Elastic Cloud free trial

Screen_Shot_2020-06-30_at_10.44.12_AM.jpg

Senior Security Research Engineer

Ross Wolf

By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_self">Terms of Service</a>, and you agree to receive the <a href="/legal/privacy-statement#how-we-use-the-information" target="_self">selected communications</a> at the contact details you provided above. See <a href="/legal/privacy-statement/" target="_self">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Communication Preferences - ONLY for /communication-preferences

Al enviar, confirma que ha leído y acepta nuestras <a href="/es/legal/elastic-cloud-account-terms" target="_self">Condiciones de servicio</a>, y que acepta recibir las <a href="/es/legal/privacy-statement#how-we-use-the-information" target="_self">comunicaciones seleccionadas</a> en los detalles de contacto que proporcionó anteriormente. Consulte la <a href="/es/legal/privacy-statement/" target="_self">Declaración de privacidad de Elastic</a> para obtener más información o para cancelar su suscripción en cualquier momento.

By submitting you acknowledge that you've read and agree to our <a href="/legal/serverless-preview-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Serverless GDPR Text

Al enviar, confirma que ha leído y acepta nuestras <a href="/es/legal/serverless-preview-terms" target="_self">Condiciones de servicio</a>, y que Elastic puede <a href="/es/legal/privacy-statement#how-we-use-the-information" target="_self">ponerse en contacto con usted</a> acerca de nuestros productos y servicios relacionados. Consulte la <a href="/es/legal/privacy-statement/" target="_self">Declaración de privacidad de Elastic</a> para obtener más información o para cancelar su suscripción en cualquier momento.

By submitting you agree to <a href="/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud Terms of Service</a>. Your personal data will be processed in accordance with <a href="/legal/privacy-statement">Elastic's Privacy Statement</a>.

Cloud Trial GDPR Text

Al enviar esta información, aceptas los <a href="/es/agreements/global/cloud-services-monthly" rel="nofollow">Términos de servicio de Elastic</a>. Los datos personales se procesarán de conformidad con la <a href="/es/legal/privacy-statement">declaración de privacidad de Elastic</a>.

By submitting you acknowledge that you've read and agree to our <a href="/legal/terms-of-use" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Newsletter GDPR Text

Al enviar, confirma que ha leído y acepta nuestras <a href="/es/legal/terms-of-use" target="_self">Condiciones de servicio</a>, y que Elastic puede <a href="/es/legal/privacy-statement#how-we-use-the-information" target="_self">ponerse en contacto con usted</a> acerca de nuestros productos y servicios relacionados. Consulte la <a href="/es/legal/privacy-statement/" target="_self">Declaración de privacidad de Elastic</a> para obtener más información o para cancelar su suscripción en cualquier momento.

Hosted by

All Solutions

Follow us on Youtube

Watch now (no PT)

Articles by

Share by Email

Filters

All (no PT translation)

Contact information

See when this webinar starts in my time zone

Ver cuándo comienza este webinar en mi zona horaria

Thank you for your interest!

Register to Attend

Small image for

Register to Watch

Continue reading

Featured webinar

What to explore next...

Reset all

Load more press releases

Sign In to Attend

Share

Upcoming webinar

Learn more

Search Integrations

Share on Reddit

Share on Twitter

Share on Facebook

Load more news

View more posts

On-demand webinar

Follow us on Facebook

Author

Press Release

You'll also receive an email with related content.

You'll also receive an email with related content

Además, te enviaremos contenidos relevantes

Print

Contact Info

Overview

Video for

Read less

The content on this page is not available in the selected language.

El contenido de esta página no está disponible en el idioma seleccionado. Elastic está trabajando para garantizar que el contenido esté disponible en varios idiomas.Gracias por tu paciencia mientras trabajamos.

Register now

Share this story

See All Posts

See all top stories

View next

Can't make it? Register and we'll send you the recording. You'll also receive an email with related content

¿No puedes asistir? Regístrate y te enviaremos la grabación. También recibirás un correo electrónico con contenido relacionado.

Follow us on LinkedIn

Highlights

Explore similar demos

Follow us on Twitter

Share on LinkedIn

Load More

See more insights

Speakers

Close

Thank you for registering. We will send you a confirmation email soon.

Gracias por registrarte. Te enviaremos un correo electrónico de confirmación pronto.

Author

Articles by Ross Wolf

Senior Security Research Engineer, Elastic

Elastic Security abre un repositorio público de reglas de detección