============================================================================== EL DOCUMENTO QUE LA LEY TE OBLIGA A TENER PUEDE SER TU MAYOR PASIVO ============================================================================== Fuente: https://www.vantis.cl/noticias/cuando-el-atacante-roba-tu-manual-de-crisis Publicado: 2026-07-18 (hora de Chile) Ambito: global · Criticidad: alta Descargado: 2026-10-12 07:00 (hora de Chile) COMO USAR ESTE ARCHIVO ---------------------- La regla SIGMA es la canonica: es el formato neutral del que se derivan las demas. Si tu SIEM no aparece aca, convierte esa con pySigma. Las traducciones a motores concretos se incluyen por conveniencia y ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de tabla, indice y campo antes de ponerlas en produccion. Una regla que no dispara por un campo mal escrito es peor que no tener regla. QUE NECESITAS TENER LOGUEADO ---------------------------- · Auditoría de acceso a archivos en servidores de ficheros (evento 4663 de Windows) · Registros de SharePoint y OneDrive: descargas y sincronizaciones masivas · Registros de proxy: transferencias hacia servicios de almacenamiento no autorizados · Monitoreo de integridad sobre los archivos de continuidad y respuesta ============================================================================== REGLA 1 de 3 · SIGMA (canonica, neutral) Acceso masivo a documentación de crisis por cuentas de servicio ============================================================================== Requiere: Auditoría de objetos habilitada en el servidor de archivos (evento 4663) title: Acceso masivo a documentacion de continuidad y respuesta a incidentes id: 6a9f3d84-2e71-4c58-9b03-7f4e2a6d5c19 status: experimental description: > Los planes de continuidad y de respuesta a incidentes suelen vivir en un repositorio que nadie vigila, porque no es un sistema productivo. Esta regla busca su lectura o descarga masiva, que en ataques de doble extorsion suele preceder al cifrado. author: Vantis Chile SpA date: 2026/07/18 logsource: product: windows service: security detection: acceso_a_archivo: EventID: 4663 ObjectType: File documentacion_de_crisis: ObjectName|contains: - 'continuidad' - 'contingencia' - 'plan_de_crisis' - 'respuesta_a_incidentes' - 'playbook' - 'DRP' - 'BCP' - 'ciberseguridad' cuentas_de_servicio: SubjectUserName|startswith: - 'svc_' - 'srv_' - 'backup' condition: acceso_a_archivo and documentacion_de_crisis and cuentas_de_servicio falsepositives: - Respaldo programado que recorre el repositorio completo. Debe estar inventariado y excluido por nombre de cuenta, no por desactivar la regla. level: high tags: - attack.collection - attack.t1213 - attack.exfiltration ============================================================================== REGLA 2 de 3 · MICROSOFT SENTINEL - KQL Descarga masiva desde bibliotecas de continuidad ============================================================================== Requiere: CloudAppEvents de Defender for Cloud Apps o registros de auditoría de M365 // Descarga masiva desde bibliotecas que contienen documentacion de crisis let ventana = 90d; let umbral_archivos = 20; CloudAppEvents | where Timestamp > ago(ventana) | where ActionType in ("FileDownloaded", "FileSyncDownloadedFull", "FileAccessed") | extend Archivo = tostring(RawEventData.SourceFileName) | extend Ruta = tostring(RawEventData.SourceRelativeUrl) | where Archivo has_any ("continuidad","contingencia","BCP","DRP","playbook", "respuesta a incidentes","plan de crisis","ciberseguridad") or Ruta has_any ("Continuidad","Crisis","Seguridad","IR") | extend Hora = hourofday(datetime_add('hour', -4, Timestamp)) | summarize Archivos = dcount(Archivo), Ejemplos = make_set(Archivo, 12), FueraDeHorario = countif(Hora < 7 or Hora > 20), IPs = make_set(IPAddress, 5) by AccountDisplayName, bin(Timestamp, 1d) | where Archivos >= umbral_archivos or FueraDeHorario > 0 | order by Archivos desc ============================================================================== REGLA 3 de 3 · SIGMA (canonica, neutral) Lista de verificación de protección del plan de crisis ============================================================================== Requiere: Nada técnico. Se responde en una reunión de treinta minutos PROTECCION DE LA DOCUMENTACION DE CRISIS Lista de verificacion. Cada punto se responde SI o NO, sin matices. UBICACION [ ] La documentacion de continuidad y respuesta vive SEPARADA del dominio corporativo principal, no en una carpeta compartida cualquiera. [ ] Esta cifrada en reposo, con clave distinta de la del resto de los documentos. [ ] Existe una copia offline o en almacenamiento inmutable, alcanzable si el dominio completo esta cifrado. Un plan de continuidad guardado solo en la red que el ransomware cifro no es un plan: es un archivo perdido. ACCESO [ ] El acceso esta restringido por privilegio minimo, no por "todo el equipo de TI". [ ] Exige segundo factor, incluso desde dentro de la red. [ ] Se audita trimestralmente quien lo consulto, y ese registro lo revisa alguien. [ ] Las cuentas de servicio y de respaldo estan explicitamente excluidas o inventariadas como excepcion documentada. CONTENIDO [ ] El documento maestro NO se distribuye completo en los simulacros. Cada participante recibe solo su parte. [ ] Los contactos de crisis y proveedores de respuesta estan en un anexo aparte, con control de acceso propio. [ ] No contiene credenciales, claves, ni diagramas de arquitectura con direcciones IP. SUPUESTO A VALIDAR [ ] Si manana este documento apareciera publicado, sabriamos exactamente que informacion quedo expuesta y que procedimientos hay que rediseniar. ============================================================================== FALSOS POSITIVOS ESPERABLES ============================================================================== La regla del evento 4663 va a marcar el respaldo programado que recorre el repositorio completo. Esa cuenta debe estar inventariada y excluida por nombre, no desactivando la regla. Si no sabes qué cuenta de servicio recorre esos archivos cada noche, ese es el primer hallazgo. La de descargas en la nube requiere calibrar el umbral: veinte archivos es un punto de partida razonable para un repositorio de continuidad, que normalmente se consulta de a uno. ============================================================================== Vantis Chile SpA · https://www.vantis.cl/noticias Analisis con fines defensivos. Reutilizable citando la fuente. ==============================================================================