Crear y administrar reglas de PhishER

En su consola PhishER, las reglas son expresiones lógicas que le permiten disponer y etiquetar automáticamente los mensajes en su bandeja de entrada de PhishER. Las etiquetas asignadas hacen que PhishER ejecute acciones en los mensajes. Puede crear reglas desde la pestaña Reglas. Si desea crear una acción, consulte nuestro artículo Cómo crear y administrar acciones de PhishER.

La pestaña Reglas contiene dos tipos de reglas: reglas personalizadas y reglas del sistema. Las reglas personalizadas son reglas que puede crear mediante el editor de reglas YARA. Las reglas del sistema son reglas predeterminadas proporcionadas por KnowBe4. La pestaña Reglas también contiene variables globales, que son variables que crea para usar en varias reglas con las mismas cadenas. Al actualizar una variable global, puede actualizar todas las reglas que contienen esas cadenas.

Crear reglas

Puede crear reglas personalizadas en su consola PhishER para disponer los mensajes que se enviaron a su bandeja de entrada de PhishER. Para crear sus reglas, puede utilizar el editor básico o el editor avanzado. Todas las reglas personalizadas deben seguir la lógica de Yet Another Recursive/Ridiculous Acronym (YARA). YARA es una herramienta utilizada para identificar y clasificar muestras de malware.

Para crear una regla, siga los pasos que aparecen a continuación:

1. Inicie sesión en su consola de PhishER.
2. En la barra lateral izquierda de la página, seleccione la pestaña Reglas para abrir la página Reglas.

3. Haga clic en el botón Nueva regla de la esquina superior derecha de la página para abrir la página Editor de reglas.

   Nota: Si desea que PhishER genere automáticamente una regla basada en una descripción de sus necesidades, consulte la sección Crear reglas con el generador de reglas YARA.

   

4. En el campo Nombre, ingrese un nombre único para su regla. Le recomendamos que introduzca un nombre que describa brevemente la función de la regla. El nombre no puede empezar por un valor numérico, superar los 64 caracteres ni incluir ninguna de las palabras clave enumeradas en la documentación Escribir reglas YARA.
5. (Opcional) En el campo Descripción, ingrese una descripción de su regla. Como práctica recomendada, le recomendamos que introduzca una descripción de la función prevista de la regla. La descripción no puede superar los 64 caracteres.
6. En la sección Etiquetas, agregue una etiqueta personalizada que desee asociar a un mensaje si este coincide con la regla específica. Para agregar una etiqueta, haga clic en Agregar nueva etiqueta e ingrese un nombre para su etiqueta. Luego, haga clic fuera del campo Agregar nueva etiqueta para crear la etiqueta.
7. En el menú desplegable Objetivo, seleccione la parte del mensaje a la que desea aplicar o ejecutar la regla. Los objetivos que puede seleccionar son datos sin procesar, encabezados, cuerpo o archivos adjuntos. De forma predeterminada, se seleccionará Sin procesar.
8. En la sección Editor de reglas YARA, escriba la regla utilizando el Editor básico o el Editor avanzado. Para obtener más información, consulte las subsecciones siguientes.

Crear reglas con el editor básico

El editor básico le permite crear una regla personalizada sin escribir toda la lógica de la regla YARA. Puede ingresar valores para cadenas y seleccionar condiciones para su regla, y el editor básico procesará su entrada para crear la lógica para su regla. Para obtener información sobre cómo crear una regla usando la pestaña Editor básico, vea la captura de pantalla y la lista a continuación:

1. Editor básico (Basic Editor): seleccione esta pestaña para mostrar las opciones que puede usar para crear una regla.
2. Crear cadenas: cree y defina cadenas para usar al crear sus condiciones. Para obtener más información, consulte nuestro artículo ¿Cómo crear cadenas y condiciones en el editor básico?
3. Agregar cadena: haga clic en este botón para agregar una cadena a la regla. Puede crear hasta cinco cadenas por regla.
4. Crear condiciones: cree condiciones seleccionando cómo deben relacionarse entre sí las cadenas definidas. Las condiciones le permiten especificar qué mensajes desea que afecte su regla. Para obtener más información, consulte nuestro artículo ¿Cómo crear cadenas y condiciones en el editor básico? Puede seleccionar entre las siguientes opciones:
   • Coincidir con cualquiera de las cadenas definidas: seleccione esta opción para detectar mensajes que coincidan con cualquiera de sus cadenas definidas.
   • Coincidir con todas las cadenas definidas: seleccione esta opción para detectar mensajes que coincidan con todas sus cadenas definidas.
   • Condiciones personalizadas: seleccione esta opción para detectar mensajes que coincidan con sus condiciones personalizadas.
5. Agregar grupo de condiciones: si se selecciona Condiciones personalizadas, puede hacer clic en este botón para crear condiciones personalizadas que los mensajes deben cumplir para verse afectados por la regla.

6. Guardar: haga clic en este botón para guardar su regla. Su regla aparecerá en la página Reglas, en la subpestaña Reglas personalizadas. Después de guardar su regla, puede habilitarla activando el botón debajo de la columna Estado de la regla. Luego, haga clic en el botón Aplicar cambios en la esquina superior derecha de la página.

   

7. Aplicar regla a la bandeja de entrada: haga clic en este botón para ejecutar su regla en todos los mensajes de su bandeja de entrada. Al menos un mensaje debe coincidir con su regla y los criterios de la regla de vista previa para que esta opción esté disponible.

Crear reglas con el editor avanzado

El editor avanzado le permite escribir la lógica de su regla YARA sin orientación. Si edita una regla en el editor avanzado, el editor básico se desactivará para la regla. Para obtener información sobre cómo escribir reglas con la lógica de reglas YARA, consulte nuestro artículo Cómo escribir reglas YARA. Para obtener información sobre cómo crear una regla usando la pestaña Editor avanzado, vea la captura de pantalla y la lista a continuación:

1. Editor avanzado (Advanced Editor): seleccione esta pestaña para mostrar la sección de bloque de código donde puede escribir una regla con la lógica de reglas YARA.

2. Guardar regla: haga clic en este botón para guardar su regla. Su regla aparecerá en la página Reglas, en la subpestaña Reglas personalizadas. Después de guardar su regla, puede habilitarla activando el botón debajo de la columna Estado de la regla. Luego, haga clic en el botón Aplicar cambios en la esquina superior derecha de la página.

   

3. Aplicar regla a la bandeja de entrada: haga clic en este botón para ejecutar su regla en todos los mensajes de la bandeja de entrada. Al menos un mensaje debe coincidir con su regla y los criterios de la regla de vista previa para que esta opción esté disponible.

Crear reglas con el generador de reglas YARA

El generador de reglas YARA permite crear una regla personalizada con solo describir lo que desea que la regla haga. Puede introducir los requisitos de detección para su regla, y el generador de reglas YARA procesará su entrada para crear la lógica de la regla. Para aprender a crear una regla utilizando la pestaña Generador de reglas YARA, siga estos pasos:

Para crear una regla, siga los pasos que aparecen a continuación:

1. Inicie sesión en su consola de PhishER.
2. En la barra lateral izquierda de la página, seleccione la pestaña Reglas para abrir la página Reglas.

3. Haga clic en el botón Nueva regla de IA de la esquina superior derecha de la página para abrir la página Generar regla de IA.

   

4. En el campo Describa sus requisitos de detección, agregue la descripción de la regla que desea crear.

   

5. Haga clic en Generar regla. El Generador de reglas YARA convertirá los requisitos de detección en una regla de PhishER con nombre, descripción, etiqueta y sintaxis YARA completa.

   

6. La regla generada se puede editar según sea necesario. Haga clic en Guardar regla para guardar su regla.

Previsualizar reglas

Antes de guardar una regla nueva, le recomendamos obtener una vista previa de cómo afectará la regla a sus mensajes de PhishER. Para obtener una vista previa de una regla, siga los pasos que aparecen a continuación:

1. Inicie sesión en su consola de PhishER.
2. En la barra lateral izquierda de la página, seleccione la pestaña Reglas para abrir la página Reglas.
3. Haga clic en el botón Nueva regla de la esquina superior derecha de la página o seleccione una regla en la página Reglas. Al hacer clic en el botón Nueva regla, se abrirá la página Editor de reglas.
4. Escriba o modifique su regla YARA utilizando la sección Editor de reglas YARA.

5. Antes de guardar su regla, haga clic en el botón Ejecutar vista previa. Aparecerá una lista de todos los mensajes en su bandeja de entrada que coincidan con su regla.

   Nota: PhishER solo comprobará hasta los últimos 1000 mensajes de la vista previa de una regla. Si un mensaje que coincide con la regla no está dentro de los últimos 1000 mensajes, no se incluirá en la vista previa.
6. Puede actualizar la lista de vista previa modificando las siguientes opciones de criterios:
   • Consulta guardada (opcional): elija una Consulta guardada personalizada para ver cómo afecta la regla a los mensajes de esa consulta.
   • Últimos 7 días: seleccione un rango de fechas para los mensajes que desea obtener una vista previa. Las opciones son Últimas 24 horas, Últimos 7 días y Últimos 30 días: De forma predeterminada, se seleccionará Últimos 7 días.
   • Mensajes coincidentes: si obtiene una vista previa de una regla, se mostrarán opciones adicionales para filtrar los mensajes en la lista de vista previa.
   • Mensajes coincidentes (predeterminado): seleccione esta opción para mostrar solo mensajes en su bandeja de entrada de PhishER que coincidan con la condición de la regla.
   • Mensajes no coincidentes: seleccione esta opción para mostrar solo los mensajes en su bandeja de entrada de PhishER que no coincidan con la condición de la regla.

   • Todos los mensajes: seleccione esta opción para mostrar todos los mensajes en su bandeja de entrada de PhishER. La columna Coincidencia indicará si el mensaje coincidió (sí) o no coincidió (no) con la regla.

     

     Nota: Si desea abrir un mensaje que se muestra en la lista de vista previa, le recomendamos que abra el mensaje en una nueva pestaña para evitar perder su nueva regla.

   • (Opcional) Si desea ejecutar esta regla en todos los mensajes de la lista de vista previa, haga clic en el botón Aplicar regla a las coincidencias actuales.

     

Editar reglas

Para editar una regla personalizada, haga clic en el Nombre o la Descripción de la regla en la página Reglas para abrir la página Editor de reglas. Si desea editar una regla del sistema, cree una nueva regla personalizada. Luego, copie y pegue la lógica de la regla del sistema en el Editor de reglas YARA de la regla personalizada. Para obtener más información acerca de las reglas del sistema, lea la sección Usar reglas del sistema de este artículo.

Usar variables globales

En la subpestaña Variables globales de la página Reglas, puede crear variables globales o consultar las que haya creado. Si usa varias reglas con las mismas cadenas, puede usar variables globales para actualizar todas estas cadenas a la vez.

Puede incluir variables globales en reglas utilizando el editor básico o el editor avanzado para crear cadenas que contengan variables globales. Si edita una variable global, la regla se actualizará automáticamente en todas las reglas que incluyan la variable global.

Para crear una variable global, siga los pasos que aparecen a continuación:

1. Inicie sesión en su consola de PhishER.
2. En la barra lateral de la parte izquierda de la página, seleccione la pestaña Reglas para abrir la página Lista de reglas.

3. Vaya a la subpestaña Variables globales.

   

4. Haga clic en el botón Nueva variable en la esquina superior derecha de la página. Al hacer clic en este botón, se abrirá la página Crear variable global.

5. En el campo Nombre, ingrese un nombre para la variable global.

   

6. En el campo Valor, ingrese un valor para la variable global.

   Nota: Las variables globales deben cumplir los mismos requisitos que se aplican a otras variables y cadenas. El valor no puede empezar por un valor numérico, superar los 255 caracteres ni ser una de las palabras clave enumeradas en la documentación Escribir reglas YARA.
7. Haga clic en Guardar para guardar su variable global. La variable global aparecerá en la página Lista de reglas en la subpestaña Variables globales.

En la página Lista de reglas, puede ver información sobre la variable global, como cuándo se creó y se actualizó por última vez. También puede editar el valor de una variable global haciendo clic en el nombre de la variable para abrir la pantalla Editar variable global. El nombre de una variable global existente no se puede cambiar. Si desea eliminar una variable global, haga clic en el ícono de la papelera.

Para saber cómo crear una regla mediante variables globales, consulte nuestro artículo Crear cadenas y condiciones en el editor básico de reglas YARA.

Usar reglas del sistema

Su consola PhishER proporciona reglas del sistema para ayudarlo a eliminar y etiquetar mensajes. En la subpestaña Reglas del sistema de la página Reglas, puede habilitar estas reglas para su consola de PhishER. De forma predeterminada, las reglas del sistema están deshabilitadas.

Para obtener más información sobre las reglas del sistema, consulte la captura de pantalla y la lista que aparecen a continuación:

Etiquetas del decodificador de códigos QR

QR Code Decoder (Decodificador de códigos QR) es una función de PhishER que opera en segundo plano en su consola para escanear automáticamente los códigos QR de los correos electrónicos denunciados. Cuando QR Code Decoder (Decodificador de códigos QR) detecta un código QR en el cuerpo de un mensaje, extrae la URL incrustada en este y asigna una etiqueta al mensaje. Las URL extraídas se mostrarán en la pestaña Dominios y URL de la página Detalles del mensaje en la bandeja de entrada PhishER. Para obtener más información sobre las etiquetas del Decodificador de códigos QR, consulte la siguiente lista:

Ver la lista de reglas

La Lista de reglas muestra todas sus reglas y variables globales. Para obtener más información sobre la página Lista de reglas, consulte la captura de pantalla y la lista a continuación.

1. Nombre: esta columna muestra el nombre asignado a la regla.
2. Descripción: esta columna muestra una descripción de la regla.
3. Objetivo: esta columna muestra la parte de un mensaje en la que se ejecuta la regla. Por ejemplo, el objetivo de la regla podría ser el encabezado del correo electrónico.

4. Estado: esta columna muestra el estado actual de la regla. Una regla se puede habilitar o deshabilitar. Para cambiar el estado de una regla, haga clic en el botón de cambio.

   Nota: Para que una regla se ejecute en los mensajes de su bandeja de entrada de PhishER, la regla debe estar habilitada.
5. Última actualización: esta columna muestra la fecha y la hora en que se actualizó la regla por última vez.
6. Coincidencias: esta columna muestra la cantidad de veces que la regla coincidió con un mensaje en su bandeja de entrada de PhishER.
7. Etiquetas: esta columna muestra todas las etiquetas adjuntas a un mensaje. Las etiquetas solo se adjuntarán a un mensaje si el mensaje coincide con la regla.
8. Filtrar por estado: Seleccione Todas, Activas o Inactivas para filtrar la vista de las reglas habilitadas o deshabilitadas.