==============================================================================
  EE.UU. EXCLUYE A DEEPSEEK DE COMPRAS FEDERALES POR CADENA DE IA
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/fascsa-excluye-deepseek-compras-federales-eeuu-cadena-suministro-ia
  Publicado:   2026-10-24  (hora de Chile)
  Ambito:      global   ·   Criticidad: media
  Descargado:  2026-10-25 05:47  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Logs de proxy web / firewall de siguiente generación (DNS y conexiones salientes)
  · Logs de creación de procesos (Sysmon Event ID 1 o EDR equivalente) en estaciones y servidores que ejecuten herramientas de inferencia local de LLM
  · Telemetría de MDM para aplicaciones instaladas en dispositivos móviles
  · Logs de acceso a registros de modelos / repositorios de artefactos de IA (model registry, container registry)

==============================================================================
  REGLA 1 de 4   ·   SIGMA (canonica, neutral)
  Posible uso de modelo DeepSeek o infraestructura asociada (detección conductual)
==============================================================================
  Requiere: Logs de proxy web o firewall con inspeccion de capa de aplicacion (campo DestinationHostname) y, opcionalmente, telemetria de creacion de procesos con linea de comandos completa

title: Possible DeepSeek Model Usage or Hosted Service Connection
id: 9b4e2f7a-3c6d-4e1a-8f9b-2d5c7a1e4b6f
status: experimental
description: |
    Deteccion por comportamiento, a ajustar al entorno. No existen IOCs publicos de compromiso para este caso: la orden FASCSA no documenta malware en los pesos abiertos de DeepSeek, sino un riesgo de cadena de suministro y linaje de modelo. Esta regla busca senales de uso del servicio alojado de DeepSeek (DNS/conexion saliente) o de ejecucion local de herramientas de inferencia con referencia al termino 'deepseek' en linea de comandos, para apoyar inventario y cumplimiento de politica de IA, no deteccion de amenaza activa.
references:
    - https://labs.cloudsecurityalliance.org/research/csa-research-note-deepseek-fascsa-exclusion-order-20261024-c/
author: Vantis
date: 2026-10-24
logsource:
    category: network_connection
    product: proxy
detection:
    selection_dns:
        DestinationHostname|contains: 'deepseek.com'
    selection_proc:
        CommandLine|contains: 'deepseek'
    condition: 1 of selection_*
falsepositives:
    - Uso legitimo y autorizado del modelo o servicio por personal tecnico, de datos o investigacion
    - Nombres de proyecto o variables internas que contengan la cadena 'deepseek' sin relacion con el modelo real
    - Trafico de terceros que mencione el termino en contenido no relacionado (documentacion, noticias)
level: low
tags:
    - attack.initial_access
    - attack.t1195

==============================================================================
  REGLA 2 de 4   ·   MICROSOFT SENTINEL - KQL
  Conexiones salientes o ejecucion de procesos relacionados con DeepSeek (Microsoft Sentinel)
==============================================================================
  Requiere: Tablas DeviceNetworkEvents y DeviceProcessEvents de Microsoft Defender for Endpoint habilitadas (bundle E5)

let deepseek_domains = dynamic(["deepseek.com"]);
DeviceNetworkEvents
| where RemoteUrl has_any (deepseek_domains)
| extend Hallazgo = "Conexion a servicio alojado DeepSeek"
| project Timestamp, DeviceName, InitiatingProcessAccountName, RemoteUrl, RemoteIP, Hallazgo
| union (
    DeviceProcessEvents
    | where ProcessCommandLine has "deepseek"
    | extend Hallazgo = "Posible ejecucion local de modelo/herramienta DeepSeek"
    | project Timestamp, DeviceName, InitiatingProcessAccountName=AccountName, RemoteUrl=ProcessCommandLine, RemoteIP="", Hallazgo
)
| order by Timestamp desc

==============================================================================
  REGLA 3 de 4   ·   SPLUNK - SPL
  Conexiones o referencias a DeepSeek en proxy, DNS o linea de comandos (Splunk)
==============================================================================
  Requiere: index=proxy con logs de proxy web, index=dns con resoluciones DNS, e index=edr con telemetria de procesos y linea de comandos

index=proxy OR index=dns OR index=edr (dest="*deepseek.com*" OR query="*deepseek.com*" OR process="*deepseek*")
| stats count by src_ip, user, dest, query, process
| sort - count

==============================================================================
  REGLA 4 de 4   ·   WAZUH / VERIFICACION EN HOST
  Referencia a DeepSeek en ejecucion de procesos o herramientas de inferencia local
==============================================================================
  Requiere: Modulo de monitoreo de procesos o comando (auditd en Linux, Sysmon en Windows) integrado con el agente Wazuh

<rule id="100911" level="5">
  <if_sid>530</if_sid>
  <match>deepseek</match>
  <description>Deteccion conductual: posible uso de modelo o servicio DeepSeek detectado en linea de comandos. Ajustar a contexto del entorno; no implica compromiso.</description>
  <group>ai_supply_chain,deepseek,experimental,</group>
</rule>

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  Estas reglas son de deteccion conductual experimental, no de compromiso:
  el termino 'deepseek' y el dominio deepseek.com corresponden a
  infraestructura y producto legitimos del proveedor. Van a generar
  coincidencias sobre uso autorizado de investigadores, equipos de datos o
  desarrolladores evaluando el modelo, y sobre menciones de texto no
  relacionadas con ejecucion real (documentacion, commits, nombres de
  variable). Usense para construir el inventario de exposicion a modelos de
  IA y apoyar la indagacion razonable exigida por FAR 52.204-30, no para
  bloquear automaticamente sin revision humana. Correlacionar con el rol del
  usuario, el activo y el contexto de negocio antes de escalar cualquier
  hallazgo.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================