Laboratorio de detección
Ajusta reglas de detección de SIEM sobre logs etiquetados y envíalas contra los logs del día siguiente.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Cualquiera puede escribir una regla que detecte el ataque de anoche. El trabajo es una regla que detecte el de mañana sin avisar al SOC por cada tarea de copia de seguridad. Este laboratorio gratuito de ingeniería de detección te da 19 tickets de detección en seis fuentes de logs (log de eventos de seguridad de Windows, Sysmon, log de autenticación de Linux, AWS CloudTrail, proxy web y telemetría EDR). En cada ronda ajustas la regla ingenua de un compañero: condiciones, exclusiones y correlación por recuento o recuento distinto con un umbral y una ventana de tiempo. Haz backtests tantas veces como quieras sobre las últimas 24 horas de logs y ve cada verdadero positivo, falso positivo e incidente no detectado, además de un barrido de precisión/exhaustividad (precision/recall) entre umbrales. Al enviarla, la regla se califica con los logs del día siguiente, donde cambian las IP, las cuentas y los nombres de archivo del atacante: las reglas que memorizan indicadores fallan y las que describen comportamientos aguantan. Cada regla se mapea a MITRE ATT&CK, las rondas escalan de reglas de un solo evento a exclusiones y umbrales, y el informe final exporta tu biblioteca de reglas en Markdown. Es gratis y no requiere registro.
- Abre un ticket de detección y lee la regla ingenua de tu compañero.
- Ajusta las condiciones, las exclusiones y el umbral y la ventana de tiempo de la correlación.
- Haz backtests sobre las últimas 24 horas de logs y usa el barrido de precision/recall para encontrar el umbral.
- Elige la técnica de ATT&CK, envía la regla contra los logs del día siguiente y exporta tu biblioteca de reglas.
Preguntas frecuentes
¿Qué es el laboratorio de detección?
Un ejercicio gratuito de ingeniería de detección en el navegador. Trabajas un turno de tickets de detección extraídos de 19 casos de uso (password spraying, Kerberoasting, PowerShell codificado, acceso a LSASS, borrado de logs, manipulación de CloudTrail, beaconing, exfiltración a servicios de compartición de archivos, renombrado de archivos por ransomware y más). En cada uno ajustas una regla contra logs etiquetados de Windows, Sysmon, autenticación de Linux, CloudTrail, proxy o EDR, después la envías y se califica por recall, precisión y la técnica de ATT&CK.
¿Cómo reduzco los falsos positivos de una regla de SIEM?
Acota la regla al comportamiento y no a la herramienta (el verbo «delete shadows», no cada ejecución de vssadmin), excluye la automatización documentada de la forma más estrecha posible (el nombre de un trail de sandbox, no todo el rol de despliegue) y, en las reglas basadas en volumen, sitúa el umbral entre la actividad legítima más intensa y el ataque más lento que necesitas detectar. El barrido de precision/recall del laboratorio muestra exactamente dónde está esa franja para tu regla.
¿Qué son la precisión y el recall de una regla de detección?
El recall (exhaustividad) es la proporción de incidentes reales que tu regla detectó: si se te escapa el password spray lento, el recall baja. La precisión es la proporción de tus alertas que eran reales: si avisas al SOC por cada tarea de PowerShell de SCCM, la precisión baja. Subir un umbral suele cambiar recall por precisión; las buenas reglas encuentran un ajuste en el que ambas están al 100 % porque miden algo que la actividad benigna no hace.
¿Por qué mi regla se califica con logs distintos de los que usé para ajustarla?
Porque eso es lo que la producción le hace a una regla. El laboratorio califica con los logs del día siguiente, en los que el atacante usa nuevas direcciones IP, cuentas, hosts y extensiones de archivo. Una regla que fija en el código los indicadores de anoche pasa el backtest y falla en producción, y el laboratorio la marca como sobreajustada. Es el error más común en la ingeniería de detección de nivel junior.
¿Cómo detecto un password spray?
Un spray prueba una contraseña contra muchas cuentas, así que el bloqueo por cuenta y los recuentos de fallos por usuario nunca saltan. Cuenta las cuentas objetivo distintas por dirección de origen en una ventana; por ejemplo, el evento 4625 de Windows agrupado por IpAddress con un recuento distinto de TargetUserName de 6 o más en 30 minutos. Eso ignora una cuenta de servicio que falla 40 veces con una contraseña caducada y sigue detectando un spray ralentizado.
¿Mapea las detecciones a MITRE ATT&CK?
Sí. Cada ticket tiene una técnica de ATT&CK correcta (por ejemplo T1110.003 Password Spraying, T1558.003 Kerberoasting o T1562.008 Disable or Modify Cloud Logs). Eliges la técnica de cada regla y obtienes el crédito completo por la técnica exacta y la mitad por la técnica padre correcta. El informe final muestra las técnicas y tácticas que cubriste.
¿Cómo funcionan los niveles de dificultad y las semillas?
Rookie tiene cuatro tickets con poco ruido y pistas inmediatas. Pro tiene cinco con más casi-aciertos benignos, y las pistas llegan después de tu segundo backtest. Elite tiene seis tickets más difíciles con variantes evasivas (pwsh con -ec, WMIC en lugar de vssadmin, exfiltración troceada, sprays lentos) y ninguna pista hasta que envías la regla. Cada turno se genera a partir de una semilla en la URL (?seed=), así que puedes compartir un enlace y un compañero recibe exactamente los mismos logs.
¿Puedo exportar las reglas que escribo?
Sí, gratis. El informe final exporta una biblioteca de reglas en Markdown: cada regla que enviaste como especificación de estilo Sigma con su etiqueta de ATT&CK, las métricas del backtest y del día siguiente, la regla de referencia y notas de ajuste. Es una especificación legible, no un conversor, así que vuelve a calibrar los umbrales con tu propia telemetría antes de usarla.
¿Los logs son reales?
No. Cada evento es sintético y se genera en tu navegador: dominios .example, rangos de IP de documentación (192.0.2.0/24, 198.51.100.0/24, 203.0.113.0/24), direcciones privadas 10.x y personas inventadas. Nada se conecta a un SIEM real, y los compañeros y la arena en vivo son una simulación dentro de la página.
¿Es gratis?
Sí. El laboratorio de detección es gratuito, funciona en tu navegador y no requiere registro.