Reglas de análisis programadas en Microsoft Sentinel

El tipo más común de regla de análisis, las reglas Programadas, se basan en Consultas de Kusto configuradas para ejecutarse a intervalos regulares y examinar datos sin procesar de un periodo definido. Las consultas pueden realizar operaciones estadísticas complejas en sus datos de destino, revelando líneas base y valores atípicos en grupos de eventos. Si el número de resultados capturados por la consulta supera el umbral configurado en la regla, la regla genera una alerta.

Este artículo le ayuda a comprender cómo se compilan las reglas de análisis programadas y le presenta todas las opciones de configuración y sus significados. La información de este artículo es útil en dos escenarios:

• Crear una regla de análisis a partir de una plantilla: usar la lógica de consulta y la configuración de programación y del período de retrospectiva tal como se definen en la plantilla, o personalizarlas para crear nuevas reglas.

• Cree una regla de análisis desde cero: cree su propia consulta y regla desde cero. Para ello de forma eficaz, debe tener una base exhaustiva en la ciencia de datos y el lenguaje de consulta Kusto.

Plantillas de reglas de análisis

Las consultas de las plantillas de reglas programadas fueron escritas por expertos en seguridad y ciencia de datos, ya sea de Microsoft o del proveedor de la solución que proporciona la plantilla.

Use una plantilla de regla de análisis seleccionando un nombre de plantilla de la lista de plantillas y creando una regla basada en ella.

Cada plantilla tiene una lista de orígenes de datos necesarios. Al abrir la plantilla, los orígenes de datos se comprueban automáticamente si hay disponibilidad. La disponibilidad significa que el origen de datos está conectado y que los datos se ingieren regularmente a través de él. Si alguno de los orígenes de datos necesarios no está disponible, no se le permitirá crear la regla y también podría ver un mensaje de error en ese sentido.

Al crear una regla a partir de una plantilla, se abre el Asistente para la creación de reglas en función de la plantilla seleccionada. Todos los detalles se rellenan automáticamente y puede personalizar la lógica y otras configuraciones de regla para adaptarse mejor a sus necesidades específicas. Puede repetir este proceso para crear más reglas basadas en la plantilla. Cuando llega al final del Asistente para la creación de reglas, se validan las personalizaciones y se crea la regla. Las nuevas reglas aparecen en la pestaña Reglas activas de la página Análisis . Del mismo modo, en la pestaña Plantillas de regla, ahora se muestra con la etiqueta In use la plantilla a partir de la cual creó la regla.

Los autores mantienen constantemente las plantillas de reglas de análisis, ya sea para corregir errores o para refinar la consulta. Cuando una plantilla recibe una actualización, las reglas basadas en esa plantilla se muestran con la Update etiqueta y tiene la oportunidad de modificar esas reglas para incluir los cambios realizados en la plantilla. También puede revertir los cambios realizados en una regla a su versión original basada en plantillas. Para obtener más información, consulte Administración de versiones de plantilla para las reglas de análisis programadas en Microsoft Sentinel.

Después de familiarizarse con las opciones de configuración de este artículo, consulte Creación de reglas de análisis programadas a partir de plantillas.

En el resto de este artículo se explican todas las posibilidades para personalizar la configuración de las reglas.

Configuración de reglas de análisis

En esta sección se explican las consideraciones clave que debe tener en cuenta antes de empezar a configurar las reglas.

Nombre y detalles de la regla de Analytics

La primera página del Asistente para reglas de análisis contiene la información básica de la regla.

Nombre: Nombre de la regla tal como aparece en la lista de reglas y en los filtros basados en reglas. El nombre debe ser único para el área de trabajo.

Descripción: Descripción de texto libre del propósito de la regla.

ID: El GUID de la regla como recurso de Azure, que se utiliza, entre otras cosas, en las solicitudes y respuestas de la API. Este GUID solo se asigna cuando se crea la regla, por lo que solo se muestra cuando se edita una regla existente. Como es un campo de solo lectura, aparece atenuado y no se puede modificar. Todavía no existe al crear una nueva regla, ya sea desde una plantilla o desde cero.

Gravedad: Una calificación que se asigna a las alertas generadas por esta regla. La gravedad de una actividad es un cálculo del posible impacto negativo de la aparición de la actividad.

Los niveles de gravedad predeterminados no garantizan el nivel de impacto actual o del entorno. Personalice los detalles de la alerta para personalizar la gravedad, las tácticas y otras propiedades de una instancia determinada de una alerta con los valores de los campos pertinentes de una salida de consulta.

Las definiciones de gravedad de las plantillas de reglas de análisis de Microsoft Sentinel solo son pertinentes para las alertas creadas por las reglas de análisis. En el caso de las alertas ingeridas desde otros servicios, el servicio de seguridad de origen define la gravedad.

MITRE ATT&CK: Especificación de las tácticas y técnicas de ataque representadas por las actividades capturadas por esta regla. Se basan en las tácticas y técnicas del marco de trabajo de MITRE ATT&CK®.

Las tácticas y técnicas de MITRE ATT&CK definidas aquí en la regla se aplican a las alertas generadas por la regla. También se aplican a los incidentes creados a partir de estas alertas.

Para obtener más información sobre cómo maximizar la cobertura de su panorama de amenazas de MITRE ATT&CK, consulte Comprender la cobertura de seguridad mediante el marco MITRE ATT&CK®.

Estado: Al crear la regla, su estado es Habilitado de forma predeterminada, lo que significa que se ejecuta inmediatamente después de terminar de crearla. Si no quiere que se ejecute inmediatamente, tiene dos opciones:

• Seleccione Deshabilitado y la regla se crea sin ejecutarse. Cuando quiera que se ejecute la regla, búsela en la pestaña Reglas activas y habilitela desde allí.
• Programe la regla para que se ejecute por primera vez en una fecha y hora específicas. Este método está actualmente en VERSIÓN PRELIMINAR. Consulte Programación de consultas más adelante en este artículo.

Consulta de reglas

Esta es la esencia de la regla: decide qué información se encuentra en las alertas creadas por esta regla y cómo se organiza la información. Esta configuración tiene efectos de seguimiento sobre el aspecto de los incidentes resultantes y lo fácil o difícil que son investigar, corregir y resolver. Es importante que las alertas sean lo más enriquecidas posible y que esa información sea de fácil acceso.

Vea o introduzca la consulta Kusto que analiza los datos de registro sin procesamiento. Si va a crear una regla desde cero, es recomendable planificar y diseñar la consulta antes de abrir este asistente. Puede compilar y probar consultas en la página Registros .

Todo lo que escribe en la ventana de consulta de reglas se valida al instante, por lo que averiguará de inmediato si comete algún error.

Procedimientos recomendados para consultas de reglas de análisis

• Se recomienda usar un analizador del modelo de información de seguridad avanzada (ASIM) como origen de consulta, en lugar de usar una tabla nativa. Esto garantizará que la consulta admita cualquier origen de datos o familia de orígenes de datos pertinentes actuales o futuros, en lugar de depender de un único origen de datos.

• La longitud de la consulta debe tener entre 1 y 10 000 caracteres y no puede contener "search *" ni "union *". Puede usar funciones definidas por el usuario para superar la limitación de longitud de consulta, ya que una sola función puede reemplazar docenas de líneas de código.

• No se admite el uso de funciones ADX para crear consultas Azure Data Explorer dentro de la ventana de consulta de Log Analytics.

• Al usar la bag_unpack función en una consulta, si proyecta las columnas como campos mediante "project field1" y la columna no existe, se produce un error en la consulta. Para evitar que esto ocurra, debe proyectar la columna de la siguiente manera:

  project field1 = column_ifexists("field1","")

Para más información, vea:

• Lenguaje de consulta Kusto en Microsoft Sentinel
• Guía de referencia rápida de KQL
• Procedimientos recomendados para las consultas de Kusto Query Language

Mejora de alertas

Si quieres que las alertas exponan sus hallazgos para que puedan ser visibles inmediatamente en los incidentes y realizar un seguimiento e investigación adecuados, usa la configuración de mejora de alertas para exponer toda la información importante de las alertas.

Esta mejora de alertas tiene la ventaja adicional de presentar los resultados de una manera fácilmente visible y accesible.

Hay tres tipos de mejoras de alerta que puede configurar:

• Mapeo de entidades
• Detalles personalizados
• Detalles de alerta (también conocidos como contenido dinámico)

Mapeo de entidades

Las entidades son los jugadores a ambos lados de cualquier historia de ataque. La identificación de todas las entidades de una alerta es esencial para detectar e investigar amenazas. Para asegurarse de que Microsoft Sentinel identifica las entidades de los datos sin procesar, debe asignar los tipos de entidad reconocidos por Microsoft Sentinel a los campos de los resultados de la consulta. Esta asignación integra las entidades identificadas en el campo Entidades del esquema de alertas.

Para obtener más información sobre la asignación de entidades y obtener instrucciones completas, consulte Asignación de campos de datos a entidades en Microsoft Sentinel.

Detalles personalizados

De forma predeterminada, en los incidentes solo son visibles las entidades de alerta y los metadatos, sin explorar en profundidad los eventos sin procesar en los resultados de la consulta. Para proporcionar a otros campos de los resultados de la consulta visibilidad inmediata de las alertas e incidentes, defínlos como detalles personalizados. Microsoft Sentinel integra estos detalles personalizados en el campo ExtendedProperties de las alertas, lo que hace que se muestren por adelantado en las alertas y en cualquier incidente creado a partir de esas alertas.

Para obtener más información sobre cómo mostrar detalles personalizados, así como para obtener instrucciones completas, consulta Mostrar detalles de eventos personalizados en alertas de Microsoft Sentinel.

Detalles de la alerta

Esta configuración le permite personalizar propiedades de alerta que, de otro modo, serían estándar, en función del contenido de varios campos de cada alerta. Estas personalizaciones se integran en el campo ExtendedProperties de las alertas. Por ejemplo, puede personalizar el nombre o la descripción de la alerta para incluir un nombre de usuario o una dirección IP destacados en la alerta.

Para obtener más información sobre cómo personalizar los detalles de las alertas y obtener instrucciones completas, consulte Personalización de los detalles de alerta en Microsoft Sentinel.

Programación de consultas

Los parámetros siguientes determinan la frecuencia con la que se ejecuta la regla programada y el período de tiempo que examina cada vez que se ejecuta.

• El intervalo permitido para ambos parámetros es de 5 minutos a 14 días.

• El intervalo de consulta debe ser inferior o igual al período retrospectivo. Si es más corto, los períodos de consulta se superponen, lo que puede provocar una duplicación de los resultados. Sin embargo, la validación de la regla no permite establecer un intervalo mayor que el periodo de retrospectiva, ya que eso provocaría lagunas en la cobertura.

La configuración Iniciar ejecución , ahora en VERSIÓN PRELIMINAR, permite crear una regla con el estado Habilitado, pero retrasar su primera ejecución hasta una fecha y hora predeterminadas. Esta configuración es útil si desea programar la ejecución de sus reglas en función de cuándo se espera que se ingieran los datos desde el origen o de cuándo sus analistas del SOC comienzan su jornada laboral.

• El tiempo de ejecución de inicio debe estar comprendido entre 10 minutos y 30 días después del tiempo de creación (o habilitación) de la regla.

• La línea de texto de la opción Iniciar ejecución (con el icono de información a la izquierda) resume la programación de consultas actual y la configuración de búsqueda.

  

Umbral de alerta

Muchos tipos de eventos de seguridad son normales o incluso se esperan en números pequeños, pero son un signo de una amenaza en números mayores. Diferentes escalas de números grandes pueden significar diferentes tipos de amenazas. Por ejemplo, dos o tres intentos de inicio de sesión erróneos en el espacio de un minuto es un signo de que un usuario no recuerda una contraseña, pero 50 en un minuto podría ser una señal de un ataque humano y mil es probablemente un ataque automatizado.

En función del tipo de actividad que intente detectar la regla, puede establecer un número mínimo de eventos (resultados de consulta) necesarios para desencadenar una alerta. El umbral se aplica por separado a cada vez que se ejecuta la regla, no colectivamente.

El umbral también se puede establecer en un número máximo de resultados o en un número exacto.

Agrupación de eventos

Hay dos maneras de controlar la agrupación de eventos en alertas:

• Agrupe todos los eventos en una única alerta: Este es el valor predeterminado. La regla genera una única alerta cada vez que se ejecuta, siempre y cuando la consulta devuelva más resultados que el umbral de alerta especificado explicado en la sección anterior. Esta única alerta resume todos los eventos devueltos en los resultados de la consulta.

• Desencadene una alerta para cada evento: La regla genera una alerta única para cada evento (resultado) devuelto por la consulta. Este modo es útil si desea que los eventos se muestren individualmente, o si desea agruparlos por determinados parámetros, por usuario, nombre de host u otra cosa. Puede definir estos parámetros en la consulta.

Las reglas de análisis pueden generar hasta 150 alertas. Si la agrupación de eventos está establecida en Desencadenar una alerta para cada evento y la consulta de la regla devuelve más de 150 eventos, los primeros 149 eventos generarán una alerta única (para 149 alertas) y la alerta 150 resumirá todo el conjunto de eventos devueltos. En otras palabras, la alerta 150 es lo que se habría generado si la agrupación de eventos se hubiera establecido en Agrupar todos los eventos en una sola alerta.

La sección Consulta de la alerta es diferente en cada uno de estos dos modos. En el modo Agrupar todos los eventos en un solo modo de alerta, la alerta devuelve una consulta que permite ver todos los eventos que desencadenaron la alerta. Puede explorar en profundidad los resultados de la consulta para ver los eventos individuales. En desencadenar una alerta para cada modo de evento , la alerta devuelve un resultado codificado en base64 en el área de consulta. Copie y ejecute esta salida en Log Analytics para descodificar base64 y mostrar el evento original.

La configuración Activar una alerta para cada evento podría provocar un problema por el que parece que faltan resultados de la consulta o que estos son distintos de lo esperado. Para obtener más información sobre este escenario, consulte Solución de problemas de reglas de análisis en Microsoft Sentinel | Problema: no aparece ningún evento en los resultados de la consulta.

Supresión

Si desea que esta regla deje de funcionar durante un período de tiempo después de generar una alerta, active la opciónDetener la ejecución de la consulta después de generar la alerta. A continuación, debe establecer Detener la ejecución de la consulta durante a la cantidad de tiempo que la consulta debe dejar de ejecutarse, hasta 24 horas.

Simulación de resultados

El asistente para reglas de análisis le permite probar su eficacia ejecutándolo en el conjunto de datos actual. Al ejecutar la prueba, la ventana Simulación de resultados muestra un gráfico de los resultados que la consulta habría generado en las últimas 50 veces que se habría ejecutado, según la programación definida actualmente. Si modifica la consulta, puede volver a ejecutar la prueba para actualizar el gráfico. El gráfico muestra el número de resultados durante el período de tiempo definido, que viene determinado por la programación de consulta definida.

Este es el aspecto que podría tener la simulación de resultados para la consulta en la captura de pantalla anterior. El lado izquierdo es la vista predeterminada y el lado derecho es lo que se ve al mantener el puntero sobre un momento dado en el gráfico.

Si ves que tu consulta generaría demasiadas alertas o alertas demasiado frecuentes, puedes probar a ajustar la programación y los umbrales, y volver a ejecutar la simulación.

Configuración de incidentes

Elija si Microsoft Sentinel convierte las alertas en incidentes accionables.

La creación de incidentes está habilitada de forma predeterminada. Microsoft Sentinel crea un único incidente independiente de cada alerta generada por la regla.

Si no desea que esta regla tenga como resultado la creación de incidentes (por ejemplo, si esta regla solo es para recopilar información para el análisis posterior), establézcala en Deshabilitado.

Si desea que se cree un único incidente a partir de un grupo de alertas, en lugar de uno para cada alerta, consulte la sección siguiente.

Agrupación de alertas

Elija si cómo se agrupan las alertas en incidentes. De forma predeterminada, Microsoft Sentinel crea un incidente para cada alerta generada. En su lugar, tiene la opción de agrupar varias alertas en un único incidente.

El incidente se crea solo después de que se hayan generado todas las alertas. Todas las alertas se agregan al incidente inmediatamente después de su creación.

Se pueden agrupar hasta 150 alertas en un único incidente. Si se generan más de 150 alertas mediante una regla que las agrupa en un único incidente, se genera un nuevo incidente con los mismos detalles de incidente que el original y las alertas excesivas se agrupan en el nuevo incidente.

Para agrupar alertas, establezca la configuración de agrupación de alertas en Habilitado.

Hay algunas opciones que se deben tener en cuenta al agrupar alertas:

• Período de tiempo: De forma predeterminada, las alertas creadas hasta 5 horas después de la primera alerta de un incidente se agregan al mismo incidente. Después de 5 horas, se crea un nuevo incidente. Puede modificar este período de tiempo a cualquier valor comprendido entre 5 minutos y siete días.

• Criterios de agrupación: Elija cómo determinar qué alertas se incluyen en el grupo. En la tabla siguiente se muestran las opciones posibles:

  Opción	Descripción
  Agrupar alertas en un único incidente si todas las entidades coinciden	Las alertas se agrupan si comparten valores idénticos para cada una de las entidades asignadas definidas anteriormente. Esta es la configuración recomendada.
  Agrupa todas las alertas desencadenadas por esta regla en un único incidente	Todas las alertas generadas por esta regla se agrupan aunque no compartan valores idénticos.
  Agrupa las alertas en un único incidente si las entidades y los detalles seleccionados coinciden	Las alertas se agrupan si comparten valores idénticos para todas las entidades asignadas, detalles de alerta y detalles personalizados que seleccione para esta configuración. Elija las entidades y los detalles de las listas desplegables que aparecen al seleccionar esta opción. Es posible que quiera usar esta configuración si, por ejemplo, desea crear incidentes independientes basados en las direcciones IP de origen o de destino, o si desea agrupar alertas que coincidan con una entidad y gravedad específicas. Nota: Al seleccionar esta opción, debe haber seleccionado al menos una entidad o un detalle para la regla. De lo contrario, se produce un error en la validación de la regla y no se crea la regla.

• Volver a abrir incidentes: si se ha resuelto y cerrado un incidente, y más adelante se genera otra alerta que debe pertenecer a ese incidente, establezca esta configuración en Habilitado si desea que se vuelva a abrir el incidente cerrado y deje como Deshabilitado si desea que la nueva alerta cree un nuevo incidente.

  La opción para volver a abrir incidentes cerrados no está disponible si ha incorporado Microsoft Sentinel al portal de Defender.

Respuesta automatizada

Microsoft Sentinel permite establecer respuestas automatizadas para que se produzcan cuando:

• Esta regla de análisis genera una alerta.
• Se crea un incidente a partir de las alertas generadas por esta regla de análisis.
• Un incidente se actualiza con las alertas generadas por esta regla de análisis.

Para obtener información sobre los diferentes tipos de respuestas que se pueden crear y automatizar, consulte Automatización de la respuesta a amenazas en Microsoft Sentinel con reglas de automatización.

En el encabezado Reglas de automatización , el asistente muestra una lista de las reglas de automatización ya definidas en todo el área de trabajo, cuyas condiciones se aplican a esta regla de análisis. Puede editar cualquiera de estas reglas existentes o puede crear una nueva regla de automatización que se aplique solo a esta regla de análisis.

Use reglas de automatización para realizar la evaluación de prioridades básica, la asignación, el flujo de trabajo y el cierre de incidentes.

Automatice tareas más complejas e invoque respuestas de sistemas remotos para corregir amenazas mediante una llamada a los cuadernos de estrategias de estas reglas de automatización. Puede invocar manuales de procedimientos tanto para incidentes como para alertas individuales.

• Para obtener más información e instrucciones sobre cómo crear cuadernos de estrategias y reglas de automatización, consulte Automatización de respuestas a amenazas.

• Para obtener más información sobre cuándo usar el desencadenador de incidente creado, el desencadenador de incidente actualizado o el desencadenador de alerta creada, consulte Uso de desencadenadores y acciones en los cuadernos de estrategias de Microsoft Sentinel.

• En el encabezado Automatización de alertas (clásico), es posible que vea una lista de cuadernos de estrategias configurados para ejecutarse automáticamente mediante un método anterior debido a que estará en desuso en marzo de 2026. No se puede agregar nada a esta lista. Los cuadernos de estrategias que se enumeran aquí deben tener reglas de automatización creadas, en función del desencadenador creado por alertas, para invocar los cuadernos de estrategias. Una vez hecho esto, seleccione los tres puntos situados al final de la línea del manual de procedimientos que aparece aquí y seleccione Eliminar. Consulte Migración de cuadernos de estrategias de desencadenamiento de alertas de Microsoft Sentinel a reglas de automatización para ver las instrucciones completas.

Pasos siguientes

Al usar reglas de análisis de Microsoft Sentinel para detectar amenazas en todo el entorno, asegúrese de habilitar todas las reglas asociadas a los orígenes de datos conectados para garantizar una cobertura de seguridad completa para su entorno.

Para automatizar la habilitación de reglas, inserte reglas para Microsoft Sentinel a través de API y PowerShell, aunque para ello se requiere más esfuerzo. Al usar la API o PowerShell, primero debe exportar las reglas a JSON antes de habilitar las reglas. La API o PowerShell pueden ayudar al habilitar reglas en varias instancias de Microsoft Sentinel con una configuración idéntica en cada instancia.

Para más información, vea:

• Exportación e importación de reglas de análisis hacia y desde plantillas de ARM
• Solución de problemas de reglas de análisis en Microsoft Sentinel
• Navegar e investigar incidentes en Microsoft Sentinel
• Entidades de Microsoft Sentinel
• Tutorial: Uso de cuadernos de estrategias con reglas de automatización en Microsoft Sentinel

Además, aprenda de un ejemplo de uso de reglas de análisis personalizadas al supervisar Zoom con un conector personalizado.