==============================================================================
  SEIS MESES SEGUIDOS, LA MISMA ALERTA: POR QUÉ ESA ES EXACTAMENTE LA QUE NADIE LEE
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/patch-tuesday-seis-meses-seguidos-la-alerta-que-nadie-lee
  Publicado:   2026-08-12  (hora de Chile)
  Ambito:      chile   ·   Criticidad: alta
  Descargado:  2026-10-12 06:26  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Inventario de vulnerabilidades del EDR o del gestor de parches
  · Registros de instalación de actualizaciones por equipo y por producto
  · Registros de autenticación y actividad de cuentas privilegiadas
  · Telemetría de EDR en los días posteriores a la publicación del boletín

==============================================================================
  REGLA 1 de 3   ·   MICROSOFT SENTINEL - KQL
  Brecha de parcheo priorizada por exposición
==============================================================================
  Requiere: Defender Vulnerability Management con DeviceTvmSoftwareVulnerabilities

// Brecha de parcheo: equipos sin la actualizacion de seguridad del mes
DeviceTvmSoftwareVulnerabilities
| where CveId in~ (toscalar(
    DeviceTvmSoftwareVulnerabilities
    | where VulnerabilitySeverityLevel == "Critical"
    | summarize make_set(CveId)))
| where SoftwareVendor =~ "microsoft"
| summarize CVEsCriticos = dcount(CveId), Ejemplos = make_set(CveId, 8),
            Productos = make_set(SoftwareName, 8)
        by DeviceName, DeviceId
| join kind=leftouter (
    DeviceInfo
    | summarize arg_max(Timestamp, OSPlatform, PublicIP, IsInternetFacing = column_ifexists("IsInternetFacing", false))
            by DeviceName
  ) on DeviceName
| extend Prioridad = case(IsInternetFacing == true, "P1 - expuesto a internet",
                          CVEsCriticos > 10,        "P2 - muchos criticos",
                                                    "P3 - normal")
| project Prioridad, DeviceName, OSPlatform, CVEsCriticos, Productos, Ejemplos
| order by Prioridad asc, CVEsCriticos desc

==============================================================================
  REGLA 2 de 3   ·   SPLUNK - SPL
  Equipos atrasados por producto y días sin parche
==============================================================================
  Requiere: Registros de WSUS, SCCM o Intune ingestados al SIEM

index=wineventlog OR index=sccm earliest=-45d
| eval producto = lower(coalesce(product_name, software, title))
| where match(producto, "(windows|exchange|sharepoint|sql server|office|.net)")
| stats latest(_time) AS ultimo_parche, latest(kb) AS ultimo_kb by host, producto
| eval dias_sin_parche = round((now() - ultimo_parche) / 86400, 0)
| eval estado = case(dias_sin_parche > 60, "CRITICO",
                     dias_sin_parche > 35, "ATRASADO",
                     1=1,                  "al dia")
| where estado != "al dia"
| convert ctime(ultimo_parche)
| table estado, dias_sin_parche, host, producto, ultimo_kb, ultimo_parche
| sort - dias_sin_parche

==============================================================================
  REGLA 3 de 3   ·   SIGMA (canonica, neutral)
  Registro de ciclo de parcheo, con criterio de excepción
==============================================================================
  Requiere: Nada técnico. Bajo la Ley 21.663 esta trazabilidad es evidencia, no burocracia

REGISTRO DE CICLO DE PARCHEO
Una fila por boletin mensual. Bajo la Ley 21.663 esta trazabilidad es evidencia,
no burocracia: es lo que se muestra cuando alguien pregunta por que no se parcho.

  Mes del boletin            : 2026-08
  Codigo de alerta ANCI      : AVC26-00728
  Fecha de la alerta         : 2026-08-12
  Fecha en que se conocio    :                 <- si es posterior, ahi hay un problema
  Activos con el producto    :                 <- del inventario, no de memoria
  Activos expuestos a internet:                <- estos van primero, siempre
  Fecha de aplicacion P1     :
  Fecha de aplicacion resto  :
  Excepciones y su motivo    :                 <- una excepcion sin motivo escrito no es excepcion
  Validacion post-parche     : SI / NO / fecha
  Responsable                :

CRITERIO
  · Un activo expuesto a internet sin parchar mas de 7 dias tras la alerta requiere
    justificacion escrita y control compensatorio documentado.
  · "No alcanzamos" no es una excepcion, es un hallazgo de capacidad.
  · Si la fila "Fecha en que se conocio" queda vacia, nadie esta leyendo las alertas.

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  Las dos primeras no son reglas de detección sino de medición: no tienen
  falsos positivos, tienen resultados incómodos. Si la consulta devuelve
  cientos de equipos, eso es el estado real, no un error de configuración.

  El punto de calibración está en el umbral de días. Treinta y cinco es
  razonable como «atrasado» para un ciclo mensual; para activos expuestos a
  internet el umbral debería ser siete, y la consulta debería separarlos.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================