Un SIEM recopila registros de toda la organización, los normaliza y correlaciona eventos para detectar amenazas. Los firewalls, servidores, terminales, aplicaciones y servicios en la nube generan registros. El SIEM los centraliza, analiza los datos y aplica reglas para encontrar patrones. Un inicio de sesión fallido es ruido. Mil inicios de sesión fallidos seguidos de uno exitoso constituyen una alerta. El SIEM revela esa correlación.

Las plataformas SIEM como Splunk, Microsoft Sentinel e IBM QRadar son potentes pero exigentes. Requieren ajustes. De forma predeterminada, generan demasiadas alertas y falsos positivos. Los analistas se ven desbordados. Su valor reside en el desarrollo cuidadoso de reglas y la integración de inteligencia sobre amenazas. El SIEM también facilita el cumplimiento normativo. Los auditores exigen que los registros se recopilen, conserven y revisen. El SIEM proporciona esa evidencia. Los SIEM modernos incorporan análisis del comportamiento del usuario y aprendizaje automático para detectar anomalías que las reglas estáticas no detectan. Algunos se integran con plataformas SOAR para una respuesta automatizada. El SIEM es el sistema nervioso central de un centro de operaciones de seguridad. Sin él, los analistas trabajan a ciegas. Incluso con él, siguen teniendo que esforzarse.

Funciones SIEM

• Recopilación de registros: recopilar datos de muchas fuentes.
• Normalización: convierte formatos en un esquema común.
• Correlación: vincular eventos entre diferentes fuentes.
• Alerta: notificar a los analistas sobre actividades sospechosas.
• Retención: almacene registros para fines de cumplimiento e investigación.

Un SIEM es tan bueno como los registros que recibe y las reglas que ejecuta. Si la información de entrada es basura, la salida será ruido.