Fundamentos de Detection Engineering: de los logs a las detecciones

El detection engineering trata las detecciones como software: se diseñan, se versionan, se prueban y se mejoran. En esta primera entrega resumimos el ciclo.

1. Fuentes de datos

Toda detección empieza por la telemetría: EDR, logs de autenticación, DNS, proxy, flujos de red. Sin visibilidad no hay detección.

2. Hipótesis y mapeo a ATT&CK

Partimos de una técnica de MITRE ATT&CK y formulamos una hipótesis de comportamiento observable. Por ejemplo, para T1059 (intérpretes de comandos) buscamos cadenas de proceso padre-hijo anómalas.

3. Regla y validación

Escribimos la regla, la ejecutamos contra datos históricos y la validamos con un ejercicio de purple team antes de llevarla a producción.

4. Reducción de falsos positivos

Una detección ruidosa se ignora. Medimos precisión y ajustamos con listas de excepción mantenibles, no con parches puntuales.

En próximas entregas publicaremos reglas de ejemplo y un laboratorio reproducible.