Reglas — motor de ingesta mínima

Patrón + condición de origen + frecuencia + mapeo MITRE ATT&CK, editable acá en vez de en código.

Editar regla: root_login_external

Nombre (único) Patrón (regex sobre el mensaje normalizado) Severidad Descripción (texto de la alerta)

Mapeo MITRE ATT&CK (opcional) Táctica Técnica (ID) Nombre de la técnica

Condición de origen (opcional) Tipo de condición Valor (regex de host, o red CIDR según el tipo)

Descartar si el evento no trae IP extraída

Frecuencia (opcional — deja vacío para alertar en el primer match) Umbral (cantidad de hits) Ventana (segundos)

Escalamiento al cruzar el umbral de frecuencia (opcional) Nombre del patrón compuesto Severidad al escalar Descripción al escalar Táctica MITRE al escalar Técnica MITRE al escalar Nombre de técnica al escalar

Regla activa

Cancelar

Nombre	Patrón	Severidad	MITRE	Frecuencia	Estado
auth_failure	`Failed password\|authentication failure\|...`	medium	T1110	5 en 5 min	activa	editar
auth_success_root	`Accepted password for root\|session open...`	high	T1078.003	—	activa	editar
root_login_external	`Accepted password for root\|session open...`	critical	T1078	—	activa	editar
sudo_command	`COMMAND=`	low	T1548.003	—	activa	editar
generic_error	`\berror\b\|\bcritical\b\|\bfailed\b`	low	—	—	activa	editar

Reglas de detección

Editar regla: root_login_external