==============================================================================
  ATAQUES A REGISTROS CCTLD OBTIENEN CERTIFICADOS TLS VÁLIDOS PARA GOOGLE
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/hijack-registros-cctld-certificados-tls-confianza-dns
  Publicado:   2026-10-09  (hora de Chile)
  Ambito:      global   ·   Criticidad: alta
  Descargado:  2026-10-12 06:33  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Eventos de un poller de Certificate Transparency (crt.sh, CertStream, cert-spotter) normalizados y reenviados al SIEM
  · Registros de cambio de NS/DS del propio dominio, obtenidos del registrador o de un monitor externo de DNS
  · Alertas de discrepancia entre el emisor de un certificado y el registro CAA publicado, si el proveedor de DNS las expone como evento

==============================================================================
  REGLA 1 de 3   ·   SIGMA (canonica, neutral)
  Emisión de certificado no autorizado para dominio propio detectada vía monitoreo de Certificate Transparency
==============================================================================
  Requiere: Un poller de Certificate Transparency (crt.sh, CertStream o similar) que consulte periódicamente los logs de CT para los dominios propios y emita eventos estructurados con los campos Domain, IssuerCA, OwnedDomain y LoggedAt hacia el SIEM.

title: Emisión de certificado no autorizado para dominio propio (CT monitor)
id: a3f1e6d2-8c4b-4f1a-9e3d-726b5a1c9f04
status: experimental
description: Detecta eventos de un poller de Certificate Transparency donde se registra un certificado para un dominio propio emitido por una CA fuera de la lista aprobada o en discrepancia con el registro CAA vigente.
references:
  - https://labs.cloudsecurityalliance.org/research/csa-research-note-cctld-registry-hijack-certificate-trust-20/
logsource:
  category: application
  product: ct_monitor
detection:
  selection:
    EventType: 'certificate_logged'
    OwnedDomain: true
  filter_approved:
    IssuerCA|in:
      - 'approved_ca_list'
  condition: selection and not filter_approved
fields:
  - Domain
  - IssuerCA
  - SerialNumber
  - LoggedAt
falsepositives:
  - CA recién incorporada que aún no está en la lista de emisores aprobados
  - Certificados internos de prueba emitidos por error bajo un subdominio productivo
  - Migración de proveedor de certificados sin actualizar la lista de CA aprobadas
level: high

==============================================================================
  REGLA 2 de 3   ·   MICROSOFT SENTINEL - KQL
  Certificado fuera de lista de CA aprobadas (tabla personalizada CT monitor)
==============================================================================
  Requiere: Tabla personalizada CTMonitorAlerts_CL alimentada por una Logic App o Azure Function que consulta crt.sh o una API de CT y normaliza issuer/domain. Reemplazar la lista de emisores aprobados por las CA realmente contratadas por la organización.

CTMonitorAlerts_CL
| where OwnedDomain_b == true
| where IssuerCA_s !in ("LetsEncrypt-Aprobada", "DigiCert-Aprobada", "Sectigo-Aprobada")
| project TimeGenerated, Domain_s, IssuerCA_s, SerialNumber_s
| order by TimeGenerated desc

==============================================================================
  REGLA 3 de 3   ·   SPLUNK - SPL
  Certificado no autorizado detectado en índice ct_monitor
==============================================================================
  Requiere: Índice ct_monitor alimentado por el mismo poller de CT, y lookup approved_ca_list.csv mantenido con las CA que la organización realmente usa.

index=ct_monitor OwnedDomain=true
| search NOT [| inputlookup approved_ca_list.csv | fields IssuerCA]
| table _time Domain IssuerCA SerialNumber

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  La mayor fuente de ruido es una lista de CA aprobadas desactualizada: si
  la organización cambia de proveedor de certificados y no actualiza el CAA
  ni la lista interna, cada renovación legítima aparecerá como anomalía.
  Igual de común es un certificado de prueba emitido por un equipo de
  desarrollo bajo un subdominio de producción sin coordinación con
  seguridad. Por eso la regla se entrega en estado experimental: antes de
  generar alertas accionables hay que afinar la lista de emisores aprobados
  contra el inventario real de certificados vigentes.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================