Saltar al contenido
03 · SOC Gestionado03 · Managed SOC

Detection EngineeringDetection Engineering

Casos de uso, reglas Sigma y cobertura medida contra MITRE ATT&CK.Use cases, Sigma rules and coverage measured against MITRE ATT&CK.

Sigma · MITRE ATT&CKSigma · MITRE ATT&CK 3.1 · SOC como Servicio (SOCaaS)3.1 · SOC as a Service (SOCaaS)

¿Qué es este servicio?What is this service?

Es la disciplina de construir y mantener las detecciones: definir casos de uso, escribir las reglas, probarlas contra ataques simulados, medir su cobertura frente a MITRE ATT&CK y retirar las que solo generan ruido.

The discipline of building and maintaining detections: defining use cases, writing the rules, testing them against simulated attacks, measuring coverage against MITRE ATT&CK and retiring those that only generate noise.

¿Para qué se usa?What is it used for?

Sirve porque un SIEM con las reglas que trajo de fábrica detecta muy poco de lo que importa en el entorno concreto de cada organización. Esta es la diferencia entre un SOC que aporta y uno que solo revende una herramienta: alguien tiene que decidir qué se vigila, escribir la lógica, probarla y mantenerla viva cuando el entorno cambia.

It matters because a SIEM running its out-of-the-box rules detects very little of what matters in the specific environment of each organisation. This is the difference between a SOC that adds value and one that merely resells a tool: somebody has to decide what gets watched, write the logic, test it and keep it alive as the environment changes.

Qué beneficios traeBenefits it delivers

  • Sube la cobertura real de detección, medida contra un catálogo público y no contra una opinión.
  • Reduce falsos positivos de forma estructural, atacando la regla y no el síntoma.
  • Las detecciones quedan documentadas y versionadas, así que no se pierden cuando el analista que las escribió se va.
  • Es lo que hace que el purple team y el BAS tengan a dónde volcar sus hallazgos.
  • Raises real detection coverage, measured against a public catalogue rather than an opinion.
  • Reduces false positives structurally, attacking the rule rather than the symptom.
  • Detections end up documented and version controlled, so they are not lost when the analyst who wrote them leaves.
  • It is what gives purple team and BAS findings somewhere to land.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • No es obligatorio en Costa Rica.
  • Es lo que da sustancia a la capacidad de detección que el marco de riesgo tecnológico da por supuesta.
  • It is not mandatory in Costa Rica.
  • It is what gives substance to the detection capability the technology risk framework takes for granted.

InternacionalInternational

  • Ningún marco lo exige por nombre.
  • ISO 27001 exige evaluar la eficacia de los controles, y una regla de detección que nadie probó no es un control eficaz.
  • PCI-DSS exige mecanismos de detección y su revisión periódica.
  • No framework requires it by name.
  • ISO 27001 requires evaluating control effectiveness, and a detection rule nobody tested is not an effective control.
  • PCI-DSS requires detection mechanisms and their periodic review.

Requisitos mínimosMinimum requirements

  • Fuentes de registro con la telemetría necesaria: hay detecciones que no se pueden escribir si no llega el dato.
  • Un entorno donde probar las reglas antes de ponerlas en producción.
  • Un repositorio para versionar las detecciones, igual que se versiona el código.
  • Un catálogo de referencia acordado, normalmente MITRE ATT&CK, para poder medir la cobertura.
  • Log sources with the necessary telemetry: some detections cannot be written if the data never arrives.
  • An environment to test rules before putting them into production.
  • A repository to version detections, just as code is versioned.
  • An agreed reference catalogue, usually MITRE ATT&CK, to measure coverage against.

Plazo típico de entregaTypical delivery time

4 a 10 semanas 4 to 10 weeks rango habitual del mercado usual market range

El rango habitual del mercado para un programa inicial va de cuatro a diez semanas, dependiendo de cuántos casos de uso se construyan y de si hay que mejorar antes la telemetría. Después es una disciplina continua: cada cambio en el entorno y cada técnica nueva pide detecciones nuevas.

The usual market range for an initial programme runs from four to ten weeks, depending on how many use cases are built and whether telemetry has to be improved first. After that it is a continuous discipline: every environment change and every new technique demands new detections.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

Detection engineeringDetection engineering
La práctica de construir, probar y mantener reglas de detección como si fueran software. The practice of building, testing and maintaining detection rules as if they were software.
SigmaSigma
Formato abierto para escribir reglas de detección que luego se traducen a distintos SIEM. Open format for writing detection rules that then translate to different SIEMs.
Caso de usoUse case
El escenario que se quiere detectar, con su lógica, su severidad y su procedimiento de respuesta. The scenario to be detected, with its logic, severity and response procedure.
Cobertura ATT&CKATT&CK coverage
Qué porcentaje del catálogo de técnicas conocidas queda cubierto con detecciones. What percentage of the known technique catalogue is covered by detections.
Detección como códigoDetection as code
Tratar las reglas con las mismas prácticas del desarrollo: control de versiones, pruebas y despliegue automatizado. Treating rules with software development practices: version control, testing and automated deployment.