==============================================================================
  CERT-IN DETECTA AGENTES DE IA ACCEDIENDO A SISTEMAS SIN AUTORIZACIÓN
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/cert-in-agentes-ia-acceso-no-autorizado-sistemas-vivos
  Publicado:   2026-10-19  (hora de Chile)
  Ambito:      global   ·   Criticidad: alta
  Descargado:  2026-10-25 04:56  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Logs de auditoría de nube (AWS CloudTrail, Azure Activity Log, GCP Audit Logs) con eventos de IAM/STS
  · Resultados de secret-scanning en pipelines CI/CD y en el historial de repositorios
  · Logs de autenticación en interfaces de administración
  · Logs de API Gateway / WAF para tráfico hacia endpoints internos o de prueba

==============================================================================
  REGLA 1 de 4   ·   SIGMA (canonica, neutral)
  Reutilización de credencial de servicio en la nube desde múltiples IPs
==============================================================================
  Requiere: Logs de CloudTrail (o equivalente de la nube usada) ingiriendo eventos de IAM/STS; el campo accessKeyId debe mapear a la identidad de servicio real.

title: Reutilización de credencial de servicio en la nube desde múltiples IPs
id: d4f1b7a6-2e9c-4f3a-8b5d-7c1e9a3f6d02
status: experimental
description: Detecta una misma credencial de servicio (access key, service principal o API key) usada desde un número inusual de direcciones IP de origen en una ventana corta. Patrón reportado por CERT-In (CIAD-2026-0049) tanto en reutilización de credenciales expuestas por agentes de IA como en uso de marcos ofensivos automatizados por criminales.
references:
    - https://labs.cloudsecurityalliance.org/research/csa-research-note-cert-in-ai-agent-unauthorized-access-20261/
logsource:
    category: cloud
    product: aws
    service: cloudtrail
detection:
    selection:
        eventSource|endswith: '.amazonaws.com'
    timeframe: 1h
    condition: selection | count(sourceIPAddress) by userIdentity.accessKeyId > 5
falsepositives:
    - Workloads detrás de NAT gateways o balanceadores que rotan la IP de salida
    - Pipelines CI/CD distribuidos en múltiples runners o regiones que comparten una credencial de servicio
    - Migraciones o despliegues multi-región programados
level: medium
tags:
    - attack.credential_access
    - attack.t1552.001
    - attack.t1078.004

==============================================================================
  REGLA 2 de 4   ·   MICROSOFT SENTINEL - KQL
  Credencial de AWS reutilizada desde múltiples IPs (Sentinel)
==============================================================================
  Requiere: Conector de AWS en Microsoft Sentinel habilitado, con la tabla AWSCloudTrail recibiendo eventos de IAM/STS.

AWSCloudTrail
| where TimeGenerated > ago(1h)
| extend AccessKeyId = tostring(parse_json(UserIdentity).accessKeyId)
| summarize DistinctIPs = dcount(SourceIpAddress), IPs = make_set(SourceIpAddress) by AccessKeyId
| where DistinctIPs > 5

==============================================================================
  REGLA 3 de 4   ·   SPLUNK - SPL
  Detección de credencial compartida entre múltiples IPs (Splunk)
==============================================================================
  Requiere: Splunk Add-on for AWS (Splunk_TA_aws) indexando eventos de CloudTrail en index=aws.

index=aws sourcetype="aws:cloudtrail"
| bin _time span=1h
| stats dc(src_ip) as ip_count, values(src_ip) as ips by access_key, _time
| where ip_count > 5

==============================================================================
  REGLA 4 de 4   ·   GOOGLE SECOPS - YARA-L
  Credencial de servicio con dispersión geográfica anómala (Google SecOps)
==============================================================================
  Requiere: Fuente de datos UDM alimentada por logs de IAM de la nube (AWS CloudTrail, Azure AD, GCP Audit Logs) normalizados en Google SecOps.

rule service_credential_ip_fanout {
  meta:
    description = "Misma credencial de servicio usada desde más de 5 IPs distintas en 1 hora"
    severity = "Medium"
  events:
    $e.metadata.event_type = "USER_LOGIN"
    $e.principal.user.userid = $cred
    $e.principal.ip = $ip
  match:
    $cred over 1h
  condition:
    #ip > 5
}

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  El umbral de 5 IPs distintas por hora es un punto de partida, no un valor
  validado: entornos con NAT gateways compartidos, balanceadores de carga,
  CDN de salida, o pipelines CI/CD distribuidos en múltiples runners van a
  generar ruido si no se ajusta primero con una línea base de 2 a 4 semanas
  por credencial. Antes de poner esta regla en modo de alerta activa,
  correrla en modo de solo registro y revisar manualmente los primeros
  resultados.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================