¿Qué señales aporta el SIEM a la detección?
El SIEM centraliza registros de fuentes que a menudo no tienen detección propia: controladores de dominio, VPN, cortafuegos, proxies, aplicaciones de negocio y servicios cloud. Además, suele ser el sitio con más histórico. El ACSC australiano y CISA publicaron en mayo de 2025, con otras agencias, una guía sobre SIEM y SOAR que dedica un documento entero a qué registros priorizar en la ingesta. Las señales que más se usan:
| Señal | Ejemplos | Para qué sirve |
|---|---|---|
| Alertas de reglas de correlación | Notables o findings en Splunk Enterprise Security, incidentes en Microsoft Sentinel, offenses en QRadar, detecciones YARA-L en Google SecOps, alertas en Elastic Security | Punto de entrada al triaje |
| Autenticación | Eventos 4624, 4625, 4768 y 4769 de Windows, VPN e inicio de sesión único | Uso de credenciales robadas, fuerza bruta, Kerberoasting y movimiento lateral |
| Red y perímetro | Cortafuegos, proxy y DNS | Comunicación con servidores de mando y control, descargas y exfiltración |
| Cloud y SaaS | Registros de auditoría de AWS, Azure, Google Cloud y Microsoft 365 | Cambios de permisos, claves nuevas y accesos anómalos |
| Fuentes sin agente | Aplicaciones de negocio, bases de datos y equipos de red | Contexto que el EDR no ve |
¿Qué detecta Ciberia sobre tu SIEM?
- Correlación por usuario y equipo: agrupa en un mismo caso lo que el SIEM, el EDR, la identidad y el correo ven por separado sobre la misma cuenta o la misma máquina.
- Contexto de inteligencia: cada IP, dominio o hash de una alerta del SIEM se contrasta con Ciberia Intel.
- Triaje automatizado: la IA propia resuelve alrededor del 90 % del triaje y escala a un analista, con contexto, lo que lo necesita.
- Búsqueda retrospectiva: el Threat Hunting de Ciberia usa el histórico para buscar persistencia y movimiento lateral a partir de hipótesis MITRE ATT&CK, y convierte los hallazgos en nuevas reglas de detección.
¿Qué acciones de respuesta se orquestan?
El SIEM se usa sobre todo para detectar e investigar; la contención se ejecuta en las herramientas conectadas. Según la plataforma:
- En el SIEM: actualizar el estado y los comentarios del incidente, lanzar búsquedas y añadir indicadores a listas de vigilancia (watchlists en Microsoft Sentinel, reference sets en QRadar, lookups en Splunk).
- En identidad: deshabilitar la cuenta, revocar sesiones y forzar el cambio de contraseña.
- En el EDR: aislar el equipo o terminar el proceso.
- En el cortafuegos o el proxy: bloquear IPs y dominios.
- En el ticketing: abrir y documentar el caso.
La IA propone la acción y un analista valida las decisiones con impacto. Cada acción automática queda trazada, y en Ciberia MDR el SLA contractual es de 15 minutos desde la alerta crítica hasta la contención inicial.
¿Por qué Ciberia no sustituye a tu SIEM?
Cambiar de SIEM es caro: reglas personalizadas, parsers, años de histórico, cuadros de mando e informes que usan otras áreas. Ciberia se integra con él y trabaja encima, así que todo eso se queda donde está. Cambia quién vigila las alertas a cualquier hora, con qué contexto y con qué capacidad de respuesta.
Frente a las demás integraciones, el SIEM aporta amplitud e histórico. El EDR da el detalle del equipo y la contención directa, la identidad dice quién hizo qué y la inteligencia de amenazas aporta el contexto externo. Si no tienes SIEM, Ciberia también se integra directamente con EDR/XDR, firewall, correo, identidad y cloud.
¿Qué conviene revisar en tu SIEM?
- Qué fuentes ingiere de verdad y cuáles faltan, empezando por controladores de dominio, VPN y registros de auditoría cloud.
- Cuántas reglas están activas y cuántas solo generan ruido.
- Retención: si el histórico cubre el tiempo que un atacante puede pasar dentro antes de ser detectado.
- Hora sincronizada y nombres de usuario y equipo coherentes entre fuentes: sin eso, la correlación falla.
