============================================================================== EVEREST NO ATACÓ A LOS HOSPITALES NI A LAS AEROLÍNEAS: ATACÓ A QUIEN LES VENDE ============================================================================== Fuente: https://www.vantis.cl/noticias/everest-cadena-suministro-ataca-a-quien-te-vende Publicado: 2026-07-26 (hora de Chile) Ambito: global · Criticidad: alta Descargado: 2026-10-12 06:25 (hora de Chile) COMO USAR ESTE ARCHIVO ---------------------- La regla SIGMA es la canonica: es el formato neutral del que se derivan las demas. Si tu SIEM no aparece aca, convierte esa con pySigma. Las traducciones a motores concretos se incluyen por conveniencia y ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de tabla, indice y campo antes de ponerlas en produccion. Una regla que no dispara por un campo mal escrito es peor que no tener regla. QUE NECESITAS TENER LOGUEADO ---------------------------- · Eventos de instalación de software y firmware en servidores y dispositivos clínicos · Tráfico de red originado en el segmento de dispositivos médicos o de automatización · Registros de acceso remoto de proveedores, con ventana horaria acordada · Feeds de inteligencia y portales de filtración, para menciones de proveedores críticos ============================================================================== REGLA 1 de 3 · SIGMA (canonica, neutral) Actualización instalada fuera del repositorio interno ============================================================================== Requiere: Registro de creación de procesos con línea de comandos (Sysmon evento 1 o EDR) title: Actualizacion de firmware o software fuera del calendario acordado id: 8b6d4e27-91c5-42fa-b7e0-5d3a9c8f1246 status: experimental description: > En un compromiso de cadena de suministro el paquete malicioso llega firmado y por el canal correcto. Lo que delata no es la firma sino el momento: una actualizacion que nadie agendo, o una comunicacion de "mantenimiento urgente" no solicitada. author: Vantis Chile SpA date: 2026/07/26 logsource: category: process_creation detection: instalador: Image|endswith: - '\msiexec.exe' - '\dism.exe' - '\pnputil.exe' CommandLine|contains: - 'firmware' - '/update' - '/i ' origen_no_validado: CommandLine|contains: - '\Users\' - '\Temp\' - '\Downloads\' - 'http://' condition: instalador and origen_no_validado falsepositives: - Instalaciones legitimas ejecutadas desde el escritorio de un tecnico. Deberian provenir del repositorio interno de paquetes; si no existe ese repositorio, esa es la brecha de proceso a cerrar antes que la regla. level: high tags: - attack.initial_access - attack.t1195.002 - attack.t1553.002 ============================================================================== REGLA 2 de 3 · MICROSOFT SENTINEL - KQL Dispositivos clínicos saliendo de su segmento y paquetes sueltos ============================================================================== Requiere: Defender for Endpoint; ajustar el rango del segmento de dispositivos // Dispositivos medicos y de automatizacion: trafico y actualizaciones inesperadas let ventana = 60d; // Ajustar al segmento donde viven gabinetes, bombas y equipamiento clinico let redes_dispositivos = dynamic(["10.80.0.0/16"]); union isfuzzy=true (DeviceNetworkEvents | where Timestamp > ago(ventana) | where ipv4_is_in_any_range(LocalIP, redes_dispositivos) | where not(ipv4_is_in_any_range(RemoteIP, redes_dispositivos)) | summarize Conexiones = count(), Destinos = make_set(RemoteUrl, 15) by DeviceName, bin(Timestamp, 1d) | extend Senal = "dispositivo clinico saliendo de su segmento"), (DeviceFileEvents | where Timestamp > ago(ventana) | where FileName endswith ".msi" or FileName endswith ".bin" or FileName endswith ".fw" | where FolderPath has_any ("Temp", "Downloads", "Users") | summarize Conexiones = count(), Destinos = make_set(FolderPath, 10) by DeviceName, bin(Timestamp, 1d) | extend Senal = "paquete de actualizacion fuera del repositorio interno") | order by Timestamp desc ============================================================================== REGLA 3 de 3 · SIGMA (canonica, neutral) Inventario vivo de proveedores con acceso ============================================================================== Requiere: Nada técnico. Es el control que hace visible el riesgo de cuarto nivel INVENTARIO VIVO DE PROVEEDORES CON ACCESO Una fila por proveedor. Se revisa cada trimestre, no una vez al ano. 1. Nombre del proveedor y contacto tecnico responsable 2. Que sistema o dispositivo instalo, y en que segmento de red vive 3. Tiene acceso remoto permanente? SI / NO / SOLO EN VENTANA ACORDADA 4. Puede empujar actualizaciones de forma automatica? SI / NO 5. Que datos nuestros procesa, almacena o respalda, y en que pais 6. Subcontrata parte del servicio? A quien? <- esta es la de cuarto nivel 7. Clausula contractual de notificacion de incidentes: SI / NO, y en cuantas horas 8. Fecha de la ultima evidencia de controles que nos entrego por escrito 9. Nivel de exposicion: CRITICO / ALTO / MEDIO / BAJO 10. Que pasa con nuestra operacion si este proveedor se detiene dos semanas CRITERIO DE LECTURA · Fila 3 en SI permanente + fila 4 en SI = el proveedor puede ejecutar codigo en tu red cuando quiera. Eso exige contrato, no confianza. · Fila 6 vacia significa que no sabes, no que no subcontrate. · Fila 8 con mas de un anio = la evidencia caduco. · Fila 10 sin respuesta = no tienes plan de continuidad, tienes suerte. ============================================================================== FALSOS POSITIVOS ESPERABLES ============================================================================== La regla de instalación fuera del repositorio va a marcar el trabajo legítimo de técnicos que instalan desde su escritorio. Eso no es ruido: es el hallazgo. Si no existe un repositorio interno de paquetes validados, esa es la brecha de proceso que hay que cerrar antes que afinar la regla. La de dispositivos clínicos requiere ajustar el rango de red a tu topología. Bien configurada debería tener muy poco tráfico legítimo: un gabinete de dispensación no tiene por qué hablar con internet. ============================================================================== Vantis Chile SpA · https://www.vantis.cl/noticias Analisis con fines defensivos. Reutilizable citando la fuente. ==============================================================================