Políticas y Acciones Automatizadas

Suricatavel incluye un Motor de Políticas para automatizar la mitigación de amenazas y la respuesta ante incidentes. Cuando se generan alertas de seguridad o cambian las puntuaciones de los Indicadores de Compromiso (IOC), Suricatavel puede ejecutar múltiples respuestas simultáneamente: bloquear amenazas en el cortafuegos, abrir tickets de soporte e incidentes, y redirigir eventos a canales SIEM.

---

Cómo funcionan las políticas

Una política consta de tres componentes principales:

• Disparadores (Triggers): El evento del sistema que inicia la política.
  • alert_created: Se activa en el instante en que se ingiere una nueva alerta de Suricata.
  • ioc_score_updated: Se activa cuando se actualiza la puntuación de reputación de un IOC (por ejemplo, a través de enriquecimiento).
• Condiciones: Criterios de filtrado que deben cumplirse (como gravedad mínima, acción de la regla o reputación del IOC).
• Configuraciones de acción: Una o más acciones de respuesta que se ejecutan de forma secuencial o paralela.

---

Tipos de acción

Cada política puede ejecutar múltiples acciones distintas en paralelo:

A. Bloqueo de IP en Cortafuegos (firewall_block)

Bloquea automáticamente IPs maliciosas en el perímetro de su red.

• Selección de IP de destino: Bloquea la IP de origen (source), destino (destination) o ambas (both).
• Anulaciones de dirección y zona: Fuerza reglas de bloqueo específicas (por ejemplo, bloquear tráfico entrante, anular zonas predeterminadas de interfaz).
• TTL (Tiempo de vida): Define un bloqueo temporal (en segundos) o establézcalo en 0 para una prohibición permanente.
• Modo de simulacro (Dry Run): Modo de prueba seguro que registra la acción de bloqueo en la base de datos y en la auditoría sin aplicar la regla en los cortafuegos activos.

B. Gestión de tickets e incidentes (ticketing)

Envía alertas detalladas a herramientas de ticketing externas (Jira, ServiceNow o webhooks personalizados).

• Integración: Seleccione uno o más canales de soporte configurados.
• Plantillas (Templates): Asigne un mensaje formateado en markdown/HTML.
• Variables dinámicas: Utilice variables para inyectar detalles del incidente en vivo:

  Incidente activado por la Política: {{ policy_name }} (ID: {{ policy_id }})
  Detalles de la Alerta:
  - IP Origen: {{ alert.source_ip }}
  - IP Destino: {{ alert.dest_ip }}
  - Firma/Regla: {{ alert.signature }}
  - Gravedad: {{ alert.severity }}

C. Reenvío a SIEM (siem_forward)

Redirige directamente lotes de alertas que coinciden con criterios específicos a canales SIEM determinados, en lugar de utilizar flujos globales.

---

Creación de una política

Para crear una regla de mitigación automatizada:

1. Inicie sesión en Suricatavel.
2. Navegue a Políticas (Policies) en la barra lateral y haga clic en Nueva política.
3. En Detalles Generales:
   • Asigne un Nombre descriptivo (por ejemplo, Bloquear SSH Brute Force de Gravedad Alta).
   • Defina el Tipo de Disparador (por ejemplo, alert_created).
   • Establezca una Prioridad (los números más bajos se ejecutan primero).
4. Defina las Condiciones:
   • Seleccione los umbrales de gravedad (por ejemplo, Gravedad >= 3).
   • Filtre por acciones de regla de Suricata o categorías de alerta si lo desea.
5. Aplique Salvaguardas:
   • Lista blanca de IPs (IP Whitelist): Introduzca rangos de IP (como su pasarela o servidores DNS) que nunca deben ser bloqueados.
   • Enfriamiento (Cooldown): Tiempo mínimo en segundos entre ejecuciones para la misma IP (por ejemplo, 3600 segundos para evitar bloqueos duplicados).
   • Límite de velocidad (Rate Limit): Establezca el máximo de ejecuciones permitidas por minuto para prevenir fatiga por tormenta de alertas.
6. En Acciones, haga clic en Agregar Configuración de Acción:
   • Elija firewall_block, configure objetivos, TTL, seleccione los cortafuegos activos y active Modo Simulacro para probar con seguridad.
   • Agregue una segunda acción de tipo ticketing, eligiendo su integración de Slack o Jira y la plantilla de mensaje.
7. Cambie el estado de la política a Habilitada (Enabled) y haga clic en Guardar.

---

Salvaguardas integradas

El motor aplica controles de seguridad:

Salvaguarda	Objetivo	Descripción
Lista blanca de IPs	Bloqueo de cortafuegos	Evita bloqueos automatizados en infraestructura local y servidores críticos.
Tiempo de enfriamiento	Todas las acciones	Previene la duplicación de bloques o tickets para una misma IP durante un ataque.
Límite de velocidad	Todas las acciones	Limita la ejecución global si una regla se dispara repetidamente.
Modo de simulacro	Cortafuegos / Tickets	Simula el comportamiento de mitigación registrando auditorías sin impacto real.

---

Diagnóstico y monitoreo

Puede realizar el seguimiento de ejecuciones, fallos e historiales directamente en la interfaz web:

• Panel de políticas: Visualice recuentos de ejecuciones, tiempos de respuesta y widgets de tendencias.
• Historial de ejecución: Vaya a Políticas > Historial para ver cada trigger, detalles de concordancia de condiciones, reportes de simulacros y errores de ejecución.