==============================================================================
  LOS 90 MILLONES DE REGISTROS QUE TERMINAN SIENDO UN SMS EN TU TELÉFONO
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/el-dato-robado-no-se-queda-donde-lo-robaron
  Publicado:   2026-08-07  (hora de Chile)
  Ambito:      global   ·   Criticidad: alta
  Descargado:  2026-10-12 07:01  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Volumen de tráfico saliente por equipo y por hora, no solo destinos
  · Registros de auditoría de base de datos: consultas y filas devueltas por usuario
  · Intentos de autenticación fallidos contra el portal de clientes
  · Fuentes públicas de exposición: volcados de credenciales y portales de filtración

==============================================================================
  REGLA 1 de 3   ·   MICROSOFT SENTINEL - KQL
  Exfiltración masiva detectada por volumen
==============================================================================
  Requiere: Defender for Endpoint con DeviceNetworkEvents y contadores de bytes

// Exfiltracion masiva desde repositorios de datos: volumen, no firma
let ventana = 90d;
let umbral_gb = 5.0;
DeviceNetworkEvents
| where Timestamp > ago(ventana)
| where isnotempty(RemoteIP)
| summarize BytesSalida = sum(todouble(coalesce(column_ifexists("BytesSent", 0), 0)))
        by DeviceName, RemoteIP, RemoteUrl, bin(Timestamp, 1h)
| where BytesSalida > umbral_gb * 1024 * 1024 * 1024
| join kind=leftouter (
    DeviceInfo | distinct DeviceName, OSPlatform
  ) on DeviceName
| project Timestamp, DeviceName, OSPlatform, RemoteIP, RemoteUrl,
          GB = round(BytesSalida / 1024 / 1024 / 1024, 2)
| order by GB desc

==============================================================================
  REGLA 2 de 3   ·   SPLUNK - SPL
  Consultas a base de datos con lectura masiva de filas
==============================================================================
  Requiere: Auditoría de base de datos activada, con sql_text y rows_returned

index=db OR index=oracle OR index=mssql earliest=-90d
| eval consulta = lower(coalesce(sql_text, query, statement))
| eval lectura_masiva = if(match(consulta, "select\\s+\\*\\s+from") AND rows_returned > 100000, 1, 0)
| eval sin_where = if(match(consulta, "select") AND NOT match(consulta, "where"), 1, 0)
| eval hora = strftime(_time, "%H")
| eval fuera_horario = if(hora < 6 OR hora > 22, 1, 0)
| where lectura_masiva=1 OR (sin_where=1 AND fuera_horario=1)
| stats count AS consultas, sum(rows_returned) AS filas_totales,
        values(src_ip) AS origenes, min(_time) AS primera, max(_time) AS ultima
        by user, database
| convert ctime(primera) ctime(ultima)
| where filas_totales > 500000
| sort - filas_totales

==============================================================================
  REGLA 3 de 3   ·   SIGMA (canonica, neutral)
  Monitoreo de exposición de credenciales y datos
==============================================================================
  Requiere: Nada de pago. Las cuatro fuentes indicadas son gratuitas

MONITOREO DE EXPOSICION DE CREDENCIALES Y DATOS
Un dato robado en Lagos termina en un SMS en Santiago. El puente es el mercado
secundario, y se puede vigilar sin comprar nada.

QUE VIGILAR
  1. Dominios corporativos propios en volcados de credenciales.
     Fuente gratuita: Have I Been Pwned, API de dominio (requiere verificar propiedad).
  2. Menciones del nombre de la organizacion en portales de filtracion.
     Los grupos publican primero ahi, dias antes de cualquier confirmacion.
  3. Dominios recien registrados parecidos al propio.
     Fuente gratuita: registros de Certificate Transparency (crt.sh). Avisa el mismo
     dia en que se emite el certificado.
  4. Aumento subito de intentos de autenticacion fallidos contra el portal de clientes.
     Es la senal de que alguien esta probando un volcado ajeno contra tus usuarios.

QUE HACER CON CADA HALLAZGO
  · Credencial corporativa en un volcado  -> rotacion forzada y revision de sesiones.
  · Mencion en portal de filtracion       -> activar protocolo de respuesta ANTES de
                                             que el proveedor o la matriz confirmen.
  · Dominio parecido con certificado      -> solicitud de derribo y bloqueo preventivo.
  · Pico de fallos de autenticacion       -> el volcado no es tuyo, pero tus clientes
                                             reutilizan claves. Forzar MFA, no esperar.

CADENCIA
  Los tres primeros, semanal. El cuarto, alerta automatica en el SIEM.

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  La regla de volumen va a marcar respaldos legítimos, sincronizaciones y
  transferencias programadas. Esas deben estar inventariadas y excluidas por
  equipo y destino. Si no puedes listar qué procesos mueven más de 5 GB por
  hora en tu red, ese es el hallazgo previo.

  La de base de datos requiere calibrar el umbral de filas según el tamaño
  real de tus tablas. Un SELECT * sin WHERE fuera de horario es sospechoso
  incluso si devuelve poco: lo que importa es la combinación de patrón y
  momento, no solo el número.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================