Detección & logging

Sin logs no hay detección, y sin detección un atacante opera a ciegas del defensor durante meses (el “dwell time”). Esta ficha cubre qué registrar, cómo convertir logs en detecciones y los marcos (MITRE ATT&CK, pirámide del dolor) que guían una estrategia de detección eficaz.

Qué registrar (fuentes clave)

Endpoint    Sysmon (ver def-sysmon), EDR, logs de SO (Security/4688, PowerShell 4104)
Red         firewall, proxy, DNS, NetFlow, IDS/NDR (ver def-red)
Identidad   autenticaciones (4624/4625/4768), AD, IdP/SSO, VPN
Aplicación  servidores web, bases de datos, WAF, aplicaciones de negocio
Nube        CloudTrail/Activity logs, IAM, servicios gestionados (ver cloud)

Regla práctica: registrar lo que permita responder “quién hizo qué, dónde, cuándo y desde dónde”.

De log a detección

1. visibilidad   asegurar la fuente (si no se loguea 4688/4104, no hay nada que detectar)
2. normalización  campos comunes (usuario, host, proceso, hash, IP) en el SIEM (def-siem)
3. regla/analítica  Sigma -> traducible a cualquier SIEM; correlación de eventos
4. triaje         alerta -> investigar -> escalar/cerrar (ver def-soc)

MITRE ATT&CK como brújula

- mapear detecciones a técnicas (T####) para medir COBERTURA, no contar reglas sueltas
- DeTT&CT / ATT&CK Navigator: visualizar qué técnicas se cubren y los huecos
- priorizar por técnicas que usan los adversarios relevantes (ver cti-attack)

Pirámide del dolor (qué IOC duele más al atacante)

Hash          trivial de cambiar para el atacante  (poco dolor)
IP/Dominio    fácil de rotar
Artefactos/herramientas  cuesta más
TTPs (comportamiento)    MÁXIMO dolor: cambiar su forma de operar es caro
-> detectar COMPORTAMIENTO (TTPs) > perseguir hashes/IPs

Calidad de detección

- reducir falsos positivos (alert fatigue mata al SOC) con contexto y tuning
- documentar cada detección: qué detecta, por qué, cómo responder (detection-as-code)
- probar detecciones con emulación (Atomic Red Team, ver def-hunting) -> validar cobertura real

Blue Team / operación

Tratar las detecciones como código: versionadas, revisadas, probadas (repos de reglas Sigma).
Medir MTTD/MTTR y cobertura ATT&CK; cerrar huecos priorizando por amenaza real.
Enviar todo al SIEM (SIEM) con retención suficiente para caza retrospectiva e IR (dfir).
Proteger los propios logs (integridad, reenvío inmediato) frente al borrado por el atacante (anti-forense).

Casos reales

Brechas con dwell time de meses por falta de logging/detección (informes Mandiant M-Trends).
SolarWinds (2020): detección tardía; impulsó inversión en telemetría y detección de comportamiento.
Ransomware que borra logs y Shadow Copies antes de cifrar → clave registrar y reenviar fuera del host.

Checklist de prueba

Inventario de fuentes de log (endpoint/red/identidad/app/nube)
Verificar que se registran eventos clave (4688, 4104, Sysmon)
Detecciones mapeadas a MITRE ATT&CK (medir cobertura)
Reglas Sigma versionadas y probadas (Atomic Red Team)
Centralización en SIEM con retención adecuada
Tuning de falsos positivos y métricas MTTD/MTTR
Protección de integridad y reenvío de logs