==============================================================================
  SHINYHUNTERS NO ROMPIÓ NINGÚN CONTROL: USÓ LA CONFIANZA QUE YA ESTABA CONCEDIDA
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/shinyhunters-relacion-de-confianza-vector-de-ataque
  Publicado:   2026-08-04  (hora de Chile)
  Ambito:      global   ·   Criticidad: alta
  Descargado:  2026-10-12 07:00  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · SetupAuditTrail de Salesforce: aprobación de aplicaciones conectadas y cambios de permisos
  · LoginHistory de Salesforce: accesos por API y por herramientas de carga de datos
  · AuditLogs de Entra ID: consentimientos OAuth otorgados a aplicaciones de terceros
  · Registros de la mesa de ayuda: solicitudes telefónicas de autorización o cambio de permisos

==============================================================================
  REGLA 1 de 3   ·   ELASTIC
  Salesforce: aplicaciones conectadas aprobadas y exportaciones
==============================================================================
  Requiere: Acceso de consulta a SetupAuditTrail y LoginHistory. No requiere Event Monitoring

-- Salesforce: aplicaciones conectadas aprobadas y quien las aprobo.
-- SetupAuditTrail esta disponible en todas las ediciones, sin Event Monitoring.
SELECT CreatedDate, CreatedBy.Name, CreatedBy.Profile.Name, Action, Section, Display
FROM SetupAuditTrail
WHERE CreatedDate = LAST_N_DAYS:180
  AND (Section = 'Connected Apps'
       OR Action LIKE '%connectedapp%'
       OR Action LIKE '%oauth%')
ORDER BY CreatedDate DESC

-- Exportaciones masivas y accesos por API en el mismo periodo
SELECT LoginTime, LoginType, Application, SourceIp, Status, UserId
FROM LoginHistory
WHERE LoginTime = LAST_N_DAYS:180
  AND (Application LIKE '%Data Loader%' OR LoginType = 'Remote Access 2.0')
ORDER BY LoginTime DESC

==============================================================================
  REGLA 2 de 3   ·   MICROSOFT SENTINEL - KQL
  Microsoft 365: consentimientos OAuth de los últimos 180 días
==============================================================================
  Requiere: AuditLogs de Entra ID conectados a Sentinel

// Microsoft 365: consentimientos OAuth otorgados a aplicaciones de terceros
AuditLogs
| where TimeGenerated > ago(180d)
| where OperationName in ("Consent to application", "Add OAuth2PermissionGrant",
                          "Add delegated permission grant", "Add app role assignment grant to user")
| extend Quien = tostring(InitiatedBy.user.userPrincipalName)
| extend App = tostring(TargetResources[0].displayName)
| extend Permisos = tostring(TargetResources[0].modifiedProperties)
| project TimeGenerated, Quien, App, OperationName, Permisos
| order by TimeGenerated desc

==============================================================================
  REGLA 3 de 3   ·   SIGMA (canonica, neutral)
  Protocolo de verificación para la mesa de ayuda
==============================================================================
  Requiere: Nada técnico. Es el control que habría detenido las tres brechas de Salesforce

PROTOCOLO DE VERIFICACION PARA MESA DE AYUDA
Aplicar ante toda solicitud de autorizar una aplicacion, cambiar un permiso o
restablecer un acceso, cuando llegue por telefono o por chat.

REGLA 1 - Nunca se autoriza en la misma llamada.
   Toda solicitud se corta y se devuelve el contacto por un canal independiente:
   el telefono del directorio interno, no el numero que aparece en pantalla.

REGLA 2 - Segundo par de ojos para aplicaciones conectadas.
   Autorizar una app OAuth en el CRM o en el tenant exige aprobacion de una
   segunda persona designada. Nunca lo resuelve quien atiende.

REGLA 3 - La urgencia es una senal de alerta, no un argumento.
   "El auditor lo necesita ahora", "se cae la migracion", "el gerente esta esperando".
   Cuanto mas apuro transmite quien llama, mas estricta es la verificacion.

REGLA 4 - Registrar siempre.
   Quien llamo, desde que numero, que pidio, quien verifico y que se resolvio.
   Sin registro no hay forma de reconstruir el incidente despues.

REGLA 5 - Reportar sin costo reputacional.
   Quien atendio una llamada sospechosa debe poder reportarla sin temor a sancion,
   incluso si alcanzo a hacer algo. El castigo al que reporta compra silencio,
   y el silencio es lo que convierte un intento en una brecha.

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  El inventario de aplicaciones conectadas va a mostrar muchas
  autorizaciones legítimas, sobre todo en organizaciones con integraciones
  maduras. Eso no es ruido: es el inventario que no tenías. El objetivo del
  primer pase no es detectar un ataque sino saber qué hay conectado.

  Lo que sí es señal en el segundo pase: aplicaciones con permisos de
  exportación masiva que nadie puede justificar, autorizadas por cuentas de
  soporte, o cuya fecha de aprobación coincide con una solicitud telefónica
  registrada.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================