Regla de Detección con Splunk SPL

Construcción de Reglas de Detección con Splunk SPL

Resumen

Splunk Search Processing Language (SPL) es el lenguaje de consulta principal utilizado en Splunk Enterprise Security para construir búsquedas de correlación que detectan eventos sospechosos y patrones. Una regla de detección bien elaborada agrega, correlaciona y enriquece eventos de seguridad para generar eventos notables procesables para los analistas del SOC. Los SIEM empresariales cubren en promedio solo el 21% de las técnicas de MITRE ATT&CK, lo que hace que la escritura experta de reglas SPL sea esencial para cerrar las brechas de detección.

Cuándo Usarlo

• Al implementar o configurar capacidades de construcción de reglas de detección con splunk spl en tu entorno
• Al establecer controles de seguridad alineados con requisitos de cumplimiento
• Al construir o mejorar la arquitectura de seguridad para este dominio
• Al realizar evaluaciones de seguridad que requieren esta implementación

Requisitos Previos

• Splunk Enterprise Security (ES) implementado y configurado
• Acceso a la aplicación de Búsqueda e Informes de Splunk con roles adecuados
• Comprensión de los modelos de datos del Common Information Model (CIM)
• Familiaridad con las técnicas del marco MITRE ATT&CK
• Conocimiento de las fuentes de registro y flujos de datos de la organización

Patrones Principales de Reglas de Detección SPL

1. Detección Basada en Umbrales

Detecta eventos que superan un recuento definido dentro de una ventana de tiempo.

index=wineventlog sourcetype=WinEventLog:Security EventCode=4625
| stats count as failed_logins dc(TargetUserName) as unique_users by src_ip
| where failed_logins > 10 AND unique_users > 3
| eval severity="high"
| eval description="Ataque de fuerza bruta detectado desde ".src_ip." con ".failed_logins." inicios de sesión fallidos en ".unique_users." cuentas"

2. Detección Basada en Secuencia (Inicio de Sesión Fallido Seguido de Éxito)

Correlaciona una secuencia de eventos que indica un ataque de fuerza bruta exitoso.

index=wineventlog sourcetype=WinEventLog:Security (EventCode=4625 OR EventCode=4624)
| eval login_status=case(EventCode=4625, "failure", EventCode=4624, "success")
| stats count(eval(login_status="failure")) as failures count(eval(login_status="success")) as successes latest(_time) as last_event by src_ip, TargetUserName
| where failures > 5 AND successes > 0
| eval description="Cuenta ".TargetUserName." comprometida mediante fuerza bruta desde ".src_ip
| eval urgency="critical"

3. Detección de Anomalías con Comparación de Línea Base

Compara la actividad actual contra un período de línea base para detectar picos.

index=proxy sourcetype=squid
| bin _time span=1h
| stats count as current_count by src_ip, _time
| join src_ip type=left [
    search index=proxy sourcetype=squid earliest=-7d@d latest=-1d@d
    | stats avg(count) as avg_count stdev(count) as stdev_count by src_ip
]
| eval threshold=avg_count + (3 * stdev_count)
| where current_count > threshold
| eval deviation=round((current_count - avg_count) / stdev_count, 2)
| eval description="Tráfico web anómalo desde ".src_ip." - ".deviation." desviaciones estándar por encima de la línea base"

4. Detección de Movimiento Lateral

Identifica posible movimiento lateral utilizando eventos de inicio de sesión de Windows.

index=wineventlog sourcetype=WinEventLog:Security EventCode=4624 Logon_Type=3
| where NOT match(TargetUserName, ".*\$$")
| stats dc(dest) as unique_hosts values(dest) as hosts by src_ip, TargetUserName
| where unique_hosts > 5
| eval severity=case(unique_hosts > 20, "critical", unique_hosts > 10, "high", true(), "medium")
| eval description=TargetUserName." accedió a ".unique_hosts." hosts únicos desde ".src_ip." mediante inicio de sesión de red"

5. Detección de Exfiltración de Datos

Monitorea grandes transferencias de datos salientes.

index=firewall sourcetype=pan:traffic action=allowed direction=outbound
| stats sum(bytes_out) as total_bytes_out dc(dest_ip) as unique_destinations by src_ip, user
| eval total_mb=round(total_bytes_out/1048576, 2)
| where total_mb > 500 OR unique_destinations > 50
| lookup asset_lookup ip as src_ip OUTPUT asset_category, asset_owner
| eval severity=case(total_mb > 2000, "critical", total_mb > 1000, "high", true(), "medium")
| eval description=user." transfirió ".total_mb."MB a ".unique_destinations." destinos únicos"

6. Detección de Ejecución Sospechosa de PowerShell

Detecta comandos de PowerShell codificados u ofuscados.

index=wineventlog sourcetype=WinEventLog:Security EventCode=4104
| where match(ScriptBlockText, "(?i)(encodedcommand|invoke-expression|iex|downloadstring|frombase64string|net\.webclient|invoke-webrequest|bitstransfer|invoke-mimikatz|invoke-shellcode)")
| eval decoded_length=len(ScriptBlockText)
| stats count values(ScriptBlockText) as commands by Computer, UserName
| where count > 0
| eval severity="high"
| eval mitre_technique="T1059.001"
| eval description="Ejecución sospechosa de PowerShell en ".Computer." por ".UserName

Construcción de Búsquedas de Correlación en Splunk ES

Proceso Paso a Paso

1. Definir el Caso de Uso: Mapear a la técnica MITRE ATT&CK y definir qué comportamiento detectar
2. Identificar Fuentes de Datos: Determinar qué índices y tipos de origen contienen eventos relevantes
3. Escribir la Búsqueda Base: Construir SPL que extraiga eventos relevantes
4. Agregar Agregación: Usar stats, eventstats o streamstats para resumir
5. Aplicar Umbrales: Establecer condiciones con la cláusula where que distingan lo normal de lo anómalo
6. Enriquecer Contexto: Agregar lookups para información de activos, datos de identidad e inteligencia de amenazas
7. Configurar Evento Notable: Establecer campos de severidad, urgencia y descripción
8. Programar y Probar: Ejecutar contra datos históricos y validar la precisión de la detección

Plantilla de Configuración de Búsqueda de Correlación

| tstats summariesonly=true count from datamodel=Authentication
    where Authentication.action=failure
    by Authentication.src, Authentication.user, _time span=5m
| rename "Authentication.*" as *
| stats count as total_failures dc(user) as unique_users values(user) as targeted_users by src
| where total_failures > 20 AND unique_users > 5
| lookup dnslookup clientip as src OUTPUT clienthost as src_dns
| lookup asset_lookup ip as src OUTPUT priority as asset_priority, category as asset_category
| eval urgency=case(asset_priority=="critical", "critical", asset_priority=="high", "high", true(), "medium")
| eval rule_name="Fuerza Bruta Contra Múltiples Cuentas"
| eval rule_description="Múltiples autenticaciones fallidas desde ".src." dirigidas a ".unique_users." cuentas únicas"
| eval mitre_attack="T1110.001 - Adivinación de Contraseñas"

Mejores Prácticas de Enriquecimiento

| lookup identity_lookup identity as user OUTPUT department, manager, risk_score as user_risk
| lookup asset_lookup ip as src_ip OUTPUT asset_name, asset_category, asset_priority, asset_owner
| lookup threatintel_lookup ip as src_ip OUTPUT threat_type, threat_confidence, threat_source
| eval context=case(
    isnotnull(threat_type), "Amenaza conocida: ".threat_type,
    user_risk > 80, "Usuario de alto riesgo: puntuación de riesgo ".user_risk,
    asset_priority=="critical", "Activo crítico: ".asset_name,
    true(), "Contexto estándar"
)

Optimización del Rendimiento

Usar Modelos de Datos con tstats

| tstats summariesonly=true count from datamodel=Network_Traffic
    where All_Traffic.action=allowed
    by All_Traffic.src_ip, All_Traffic.dest_ip, All_Traffic.dest_port, _time span=1h
| rename "All_Traffic.*" as *

Limitar Rangos de Tiempo y Usar Campos Indexados

index=wineventlog source="WinEventLog:Security" EventCode=4688
    earliest=-15m latest=now()
| where NOT match(New_Process_Name, "(?i)(svchost|csrss|lsass|services)")

Usar Indexación de Resúmenes para Líneas Base Históricas

| tstats count from datamodel=Authentication where Authentication.action=failure by Authentication.src, _time span=1h
| collect index=summary source="auth_failure_baseline" marker="report_name=auth_failure_hourly"

Pruebas y Validación

Probar Contra Patrones de Ataque Conocidos

| makeresults count=1
| eval src_ip="10.0.0.50", failed_logins=25, unique_users=8, severity="high"
| eval description="Prueba de detección de fuerza bruta"
| append [
    search index=wineventlog sourcetype=WinEventLog:Security EventCode=4625
    earliest=-24h latest=now()
    | stats count as failed_logins dc(TargetUserName) as unique_users by src_ip
    | where failed_logins > 10 AND unique_users > 3
    | eval severity="high"
]

Calcular Métricas de Detección

index=notable
| search rule_name="Fuerza Bruta*"
| stats count as total_alerts count(eval(status_label="Closed - True Positive")) as true_positives count(eval(status_label="Closed - False Positive")) as false_positives by rule_name
| eval precision=round(true_positives / (true_positives + false_positives) * 100, 2)
| eval fpr=round(false_positives / total_alerts * 100, 2)

Mapeo MITRE ATT&CK

ID de Técnica	Nombre de Técnica	Enfoque de Detección SPL
T1110.001	Adivinación de Contraseñas	Umbral en EventCode 4625 por src_ip
T1059.001	PowerShell	Coincidencia de patrones en EventCode 4104 ScriptBlockText
T1021.002	Recursos Compartidos SMB/Windows Admin	Tipo de Inicio de Sesión 3 con umbral dc(dest)
T1048	Exfiltración a través de C2	Agregación de bytes_out en ventana de tiempo
T1053.005	Tarea Programada	EventCode 4698 con patrones de comando sospechosos
T1003.001	Memoria LSASS	Acceso a proceso de lsass.exe mediante Sysmon EventCode 10

Referencias

• Mejores Prácticas de Búsquedas de Correlación en Splunk ES
• Escribiendo Reglas de Detección Prácticas en Splunk
• Configurar Búsquedas de Correlación - Documentación de Splunk
• SOC Prime - Eventos de Correlación en Splunk