Orquestador de Inteligencia de Amenazas CISA KEV

Pipeline sin intervención que convierte los CVE recién armados del catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA en reglas de detección Sigma listas para producción, automáticamente, cada semana.

El problema

Convertir manualmente una nueva entrada KEV en una detección utilizable es lento: revisar el aviso, investigar el patrón de ataque, escribir una regla Sigma, probarla, informar al equipo. Eso son aproximadamente 4-6 horas por CVE. Diez nuevas entradas en una semana son una semana completa de trabajo, y la mayoría de los SOC no tienen una semana-analista extra disponible cada lunes.

Lo que esto hace

Cada lunes a las 8:00 AM, el pipeline:

1. Obtiene el catálogo CISA KEV en vivo y aísla los CVE recién añadidos y armados desde la última ejecución.
2. Genera una regla de detección Sigma por cada CVE usando Google Gemini, restringido por un prompt estructurado que obliga al modelo a:
   • apuntar al producto/vendedor exacto nombrado en el CVE (no una regla genérica)
   • usar los EventIDs correctos de Sysmon para la técnica (creación de procesos, red, carga de imágenes, LSASS, registro)
   • incluir de 3 a 5 filtros de condición para controlar falsos positivos
   • mapear a una técnica relevante de MITRE ATT&CK
   • producir solo YAML limpio, listo para insertar en Splunk, Elastic o Wazuh
3. Registra cada CVE procesado en una hoja de Google Sheets un registro de auditoría continuo con marca de tiempo de cuándo se divulgó una vulnerabilidad frente a cuándo existió una regla de detección para ella. Construido pensando en los requisitos de evidencia de gestión proactiva de vulnerabilidades de SOC 2/ISO 27001, no solo como un registro.