Proceso de Triaging de Alertas SIEM - Fundamentos y Metodología

🧩 ¿Qué es un SIEM?

🔒 Los SIEM combinan dos tecnologías anteriores:

• SIM (Security Information Management) → Enfoque en la recolección y almacenamiento de logs 📂

• SEM (Security Event Management) → Correlación, análisis y alertas ⚙️

✳️ Funcionalidades principales:

• 🧾 Recolección y administración de logs

• 🧠 Análisis de eventos y correlación de datos

• 🚨 Gestión de incidentes y generación de alertas

• 📊 Dashboards visuales y reportes automáticos

🕰️ Evolución de la tecnología SIEM

📜 Origen:
En 2005, analistas de Gartner combinaron SIM + SEM → nació el término SIEM.

💡 SIM (1ra generación):

• Basado en sistemas de gestión de logs tradicionales

• Permitía almacenamiento y análisis extendido de eventos

• Se integraba con threat intelligence

⚙️ SEM (2da generación):

• Enfocado en correlación de eventos en tiempo real

• Analizaba datos de: antivirus, IDS, firewalls, SNMP traps, etc.

🔄 Fusión → SIEM moderno:
Integra la capacidad de:

• Recolectar, normalizar y analizar logs desde múltiples fuentes

• Detectar amenazas complejas

• Mejorar la visibilidad y respuesta ante incidentes

⚙️ Cómo funciona un SIEM

📥 1️⃣ Ingesta de datos:
Recoge información de PCs, servidores, dispositivos de red, firewalls, IDS/IPS, etc.

🧮 2️⃣ Normalización y correlación:
Convierte los datos crudos en un formato común y aplica reglas de correlación para identificar comportamientos sospechosos.

🚨 3️⃣ Generación de alertas:
Cuando se detecta una anomalía, el SIEM notifica al SOC (por correo, consola, SMS o notificaciones móviles).

🧠 4️⃣ Detección inteligente:
A diferencia de IDS o IPS, un SIEM no reemplaza sus funciones, sino que integra sus logs para detectar patrones de ataque complejos.

🏢 Requisitos empresariales y casos de uso

📦 1️⃣ Agregación y normalización de logs

💡 Ejemplo:
El SIEM recopila terabytes de logs desde firewalls, bases de datos y aplicaciones críticas, permitiendo detectar patrones y anomalías en toda la infraestructura.

🚨 2️⃣ Generación de alertas de amenazas

🔔 Cuando detecta actividad sospechosa:

• Envía una alerta al equipo SOC

• Proporciona detalles (proceso, IP, usuario, timestamp)

• Permite responder rápidamente antes de que el ataque se expanda

🧠 3️⃣ Contextualización y respuesta

⚙️ El SIEM debe:

• Determinar quién, qué, dónde, cuándo y cómo del evento

• Permitir responder automáticamente (bloquear IP, detener procesos, etc.)

• Reducir falsos positivos y fatiga de alertas

⚖️ 4️⃣ Cumplimiento normativo (Compliance)

📜 Normas que requieren SIEM:

• PCI DSS, HIPAA, GDPR, ISO 27001

🧾 Funcionalidades clave:

• Auditorías automáticas

• Reportes de cumplimiento

• Monitoreo continuo y conservación de logs

🔄 Flujo de datos dentro de un SIEM

📡 1️⃣ Ingesta:
Recolección de logs desde múltiples fuentes (sistemas, red, aplicaciones, usuarios).

🧩 2️⃣ Normalización y agregación:
Convierte datos de distintos formatos → formato común comprensible para el motor de correlación.

📊 3️⃣ Análisis y visualización:
El SOC crea:

• Reglas de detección

• Dashboards

• Alertas

• Reportes automatizados

🌟 Beneficios de un SIEM

✅ Visibilidad total: Centraliza todos los logs en una sola consola.
✅ Respuesta rápida: Detección temprana y automatización de acciones.
✅ Reducción de riesgos: Identificación proactiva de amenazas.
✅ Cumplimiento normativo: Reportes automáticos y auditorías.
✅ Análisis avanzado: Algunos SIEM modernos integran IA y machine learning 🧠 para detectar anomalías y patrones.

💡 Ejemplo práctico

🧭 Resumen