Inicio › Tecnología › Gestión de Eventos de Seguridad
La gestión de eventos de seguridad, habitualmente conocida por sus siglas SIEM, es la recopilación centralizada, correlación y análisis en tiempo real de los registros y alertas generados por firewalls, servidores, endpoints y aplicaciones de una organización. Plataformas como Splunk, IBM QRadar o Microsoft Sentinel aplican reglas de correlación y, cada vez más, modelos de aprendizaje automático, para detectar patrones qué aisladamente parecerían inofensivos pero qué juntos revelan un ataque en curso, generando alertas priorizadas qué el equipo de operaciones de seguridad (SOC) investiga y responde.
Es un sistema qué junta todas las alarmas de seguridad de una empresa en un solo sitio y avisa cuando varias señales sueltas, juntas, apuntan a qué algo va mal de verdad.
Un SIEM detecta decenas de intentos fallidos de inicio de sesión desde una dirección IP extranjera, seguidos poco después de un acceso exitoso desde esa misma IP a una cuenta con privilegios, y dispara automáticamente una alerta de prioridad alta al equipo de seguridad antes de qué el atacante pueda avanzar más.
El SIEM es la plataforma tecnológica qué recopila y correlaciona los eventos; el SOC es el equipo de personas qué usa esa plataforma para investigar alertas, responder a incidentes y tomar decisiones operativas de seguridad.
Es la capacidad de relacionar varios sucesos independientes qué, vistos por separado, no llamarían la atención, pero qué combinados en un patrón temporal o lógico revelan un comportamiento malicioso o anómalo.
XDR (detección y respuesta extendida) amplía el enfoque del SIEM añadiendo capacidades de respuesta automática y una integración más profunda entre endpoint, red y correo, mientras qué el SIEM tradicional se centra sobre todo en la recopilación y correlación de registros.