============================================================================== EL ATAQUE CON IA AGÉNTICA NO TRAE TÉCNICAS NUEVAS: TRAE ESCALA ============================================================================== Fuente: https://www.vantis.cl/noticias/ia-agentica-no-necesitas-un-siem-para-ia Publicado: 2026-08-27 (hora de Chile) Ambito: global · Criticidad: alta Descargado: 2026-10-12 06:25 (hora de Chile) COMO USAR ESTE ARCHIVO ---------------------- La regla SIGMA es la canonica: es el formato neutral del que se derivan las demas. Si tu SIEM no aparece aca, convierte esa con pySigma. Las traducciones a motores concretos se incluyen por conveniencia y ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de tabla, indice y campo antes de ponerlas en produccion. Una regla que no dispara por un campo mal escrito es peor que no tener regla. QUE NECESITAS TENER LOGUEADO ---------------------------- · Registros del servidor web con URI, método y código de respuesta, para el reconocimiento · Telemetría de EDR con creación de procesos, línea de comandos y relación padre-hijo · Eventos de carga de driver en Windows (Sysmon evento 6 o equivalente del EDR) · Eventos de archivo y de módulos de kernel en servidores Linux · Registros del WAF, para correlacionar con errores de aplicación ============================================================================== REGLA 1 de 4 · SIGMA (canonica, neutral) UC-01 · Reconocimiento automatizado a gran escala ============================================================================== Requiere: Registros del servidor web o del WAF, con IP de origen y código de respuesta title: Reconocimiento automatizado a gran escala contra la superficie expuesta id: 1c7e4b93-8a26-4f51-9d38-2b6c0e5a7f14 status: experimental description: > UC-01. No busca "IA": busca el comportamiento que la automatizacion produce. Una misma IP tocando muchos hosts, muchos puertos y muchas URLs, con alta tasa de 404 y 403, en poco tiempo. Es la primera etapa de la cadena agentica. references: - https://labs.cloudsecurityalliance.org/research/ author: Vantis Chile SpA date: 2026/08/27 logsource: category: webserver detection: peticion: cs-method|expand: '%metodos%' respuesta_de_descarte: sc-status: - 403 - 404 - 405 condition: peticion and respuesta_de_descarte | count(cs-uri-stem) by c-ip > 200 timeframe: 10m falsepositives: - Rastreadores de buscadores legitimos. Filtrar por ASN y por user agent verificado mediante DNS inverso, no solo por la cadena declarada. - Escaneos de seguridad propios. Deben estar inventariados con IP de origen conocida. level: medium tags: - attack.reconnaissance - attack.t1595.002 ============================================================================== REGLA 2 de 4 · SIGMA (canonica, neutral) UC-05 · Carga de driver vulnerable conocido (BYOVD) ============================================================================== Requiere: Sysmon evento 6 o telemetría equivalente de carga de drivers del EDR title: Carga de driver vulnerable conocido (BYOVD) id: 3a8f1d62-5c94-4e07-b2a6-9f4e7c1b8035 status: stable description: > UC-05. La CSA documento el uso de RTCore64.sys y DBUtil_2_3.sys para desactivar callbacks de EDR de forma quirurgica. Un driver firmado pero vulnerable es una llave legitima: el sistema lo acepta porque la firma es valida. references: - https://labs.cloudsecurityalliance.org/research/ author: Vantis Chile SpA date: 2026/08/27 logsource: product: windows category: driver_load detection: drivers_conocidos: ImageLoaded|endswith: - '\RTCore64.sys' - '\DBUtil_2_3.sys' - '\dbutil_2_3.sys' - '\gdrv.sys' - '\iqvw64e.sys' ruta_sospechosa: ImageLoaded|contains: - '\Users\' - '\Temp\' - '\ProgramData\' condition: drivers_conocidos or (ruta_sospechosa and ImageLoaded|endswith: '.sys') falsepositives: - Herramientas legitimas de monitoreo de hardware pueden cargar RTCore64.sys. Si existen en el parque, deben estar inventariadas por equipo, no ignoradas. level: critical tags: - attack.defense_evasion - attack.t1068 - attack.t1562.001 ============================================================================== REGLA 3 de 4 · SPLUNK - SPL UC-03, UC-04 y UC-06 · La cadena, contada por etapas ============================================================================== Requiere: index=edr con proceso, proceso padre, línea de comandos y destino de red index=edr OR index=windows earliest=-30d | eval proc = lower(process_name), padre = lower(parent_process_name) | eval cmd = lower(coalesce(process, command_line)) ``` UC-03: servidor web engendrando una shell ``` | eval web_a_shell = if(match(padre, "(w3wp|httpd|nginx|apache2|tomcat|php-fpm)") AND match(proc, "(powershell|cmd|bash|sh|wscript|cscript)"), 1, 0) ``` UC-06: exclusion agregada al antivirus ``` | eval exclusion = if(match(cmd, "(add-mppreference|set-mppreference).*exclusion"), 1, 0) ``` UC-04: proceso inesperado hablando hacia afuera ``` | eval salida_rara = if(match(padre, "(w3wp|httpd|nginx)") AND isnotnull(dest_ip) AND NOT cidrmatch("10.0.0.0/8", dest_ip), 1, 0) | where web_a_shell=1 OR exclusion=1 OR salida_rara=1 | eval senal = case(web_a_shell=1, "UC-03 web a shell", exclusion=1, "UC-06 exclusion de Defender", salida_rara=1, "UC-04 web a C2") | stats count AS eventos, values(senal) AS senales, values(cmd) AS comandos, min(_time) AS primero, max(_time) AS ultimo by host, user | convert ctime(primero) ctime(ultimo) ``` La cadena completa vale mucho mas que cualquier senal suelta ``` | eval etapas = mvcount(senales) | sort - etapas, - eventos ============================================================================== REGLA 4 de 4 · MICROSOFT SENTINEL - KQL UC-07 · Manipulación de ftrace y módulos de kernel en Linux ============================================================================== Requiere: Defender for Endpoint en servidores Linux, con DeviceFileEvents // UC-07. En Linux no basta con vigilar el hooking clasico de la tabla de syscalls. // El rootkit descrito por la CSA usa ftrace para ocultar procesos y conexiones. // Esta consulta compara la tabla viva de hooks contra una linea base conocida. DeviceFileEvents | where Timestamp > ago(30d) | where DeviceName in ((DeviceInfo | where OSPlatform == "Linux" | distinct DeviceName)) | where FolderPath has_any ("/sys/kernel/debug/tracing", "/proc/sys/kernel/ftrace_enabled", "/lib/modules", "/etc/modules-load.d") | where ActionType in ("FileCreated", "FileModified") | project Timestamp, DeviceName, FolderPath, FileName, InitiatingProcessFileName, InitiatingProcessAccountName | order by Timestamp desc // Complemento en el propio host, para comparar contra linea base: // cat /sys/kernel/debug/tracing/enabled_functions // lsmod | sort // Guardar el resultado tras una instalacion limpia y comparar periodicamente. ============================================================================== FALSOS POSITIVOS ESPERABLES ============================================================================== UC-01 va a marcar rastreadores legítimos de buscadores. Filtra por ASN y verifica el agente de usuario mediante DNS inverso, no por la cadena declarada, que se falsifica en un segundo. Y ten inventariadas las IP desde las que tú mismo escaneas. UC-05 puede activarse con herramientas legítimas de monitoreo de hardware que cargan RTCore64.sys. Si existen en tu parque, deben estar inventariadas por equipo — no desactivadas de la regla. Y la advertencia que importa más que las tres anteriores: la ausencia de hallazgos no prueba ausencia de compromiso. Un rootkit de kernel basado en ftrace existe exactamente para que estas consultas no devuelvan nada. ============================================================================== Vantis Chile SpA · https://www.vantis.cl/noticias Analisis con fines defensivos. Reutilizable citando la fuente. ==============================================================================