Monitorización de seguridad y SIEM para empresas
La mayoría de los ataques no se descubren en el momento. Se descubren semanas después, cuando algo deja de funcionar o cuando un tercero avisa. Durante esas semanas el atacante ha estado dentro, mirando y preparándose, y todo lo que hizo quedó registrado en algún log que nadie leyó.
Un SIEM es lo que lee esos registros. Recoge lo que pasa en servidores, puestos, cortafuegos y correo, lo correlaciona y avisa cuando el conjunto no cuadra. Y nosotros lo vigilamos 24 horas al día, con guardia fuera de horario de oficina, porque los incidentes tienen la mala costumbre de empezar un viernes por la noche.
Qué detecta que un antivirus no ve
El antivirus mira un fichero y decide si es malo. El SIEM mira comportamientos, y ahí está la diferencia:
- Una cuenta que entra a las cuatro de la mañana desde un país donde no tiene a nadie.
- Un usuario que de repente abre cientos de ficheros del servidor en pocos minutos — el patrón previo a un cifrado por ransomware.
- Intentos de acceso fallidos repetidos contra muchas cuentas a la vez, que es como se prueban contraseñas filtradas.
- Un equipo que empieza a hablar con direcciones de internet con las que nunca había hablado.
- Un administrador nuevo creado fuera del procedimiento habitual.
Ninguna de esas señales es un fichero infectado. Todas son la huella de alguien que ya está dentro.
Con qué lo montamos
Trabajamos con dos piezas que se complementan y que tenemos desplegadas en producción:
- Wazuh vigila desde dentro de cada máquina: qué procesos se ejecutan, qué ficheros cambian, quién inicia sesión y si la configuración se desvía de lo establecido.
- Suricata vigila el tráfico de red: qué entra, qué sale y si alguna comunicación encaja con patrones de ataque conocidos.
Juntos cubren las dos perspectivas. Wazuh ve lo que pasa en el equipo pero no lo que viaja por el cable; Suricata ve el tráfico pero no sabe qué proceso lo generó. Correlacionados, sí.
Qué pasa cuando salta una alerta
Aquí es donde un SIEM sirve para algo o no sirve para nada. Un panel lleno de alertas que nadie mira es peor que no tenerlo, porque da sensación de estar protegido.
Nuestro planteamiento: se afinan las reglas hasta que las alertas que llegan merecen mirarse. Los primeros meses de cualquier despliegue son de ajuste, porque cada empresa tiene su normalidad —el comercial que se conecta de madrugada desde otro país es un incidente en una empresa y el martes de todas las semanas en otra—. Cuando salta algo de verdad, hay alguien que lo mira, decide si es real y actúa: aislar el equipo, bloquear la cuenta, cortar la comunicación. Y le llamamos.
Preguntas frecuentes
¿Esto no es solo para empresas grandes?
Lo era. El coste de las herramientas ha bajado lo suficiente como para que tenga sentido en empresas medianas, sobre todo en las que manejan datos que a alguien le interesan: despachos, clínicas, ingenierías, asesorías. El ransomware hace años que no distingue por tamaño.
¿Cuánto tarda en estar operativo?
El despliegue técnico es cuestión de días. El ajuste fino de las reglas lleva algunas semanas, y es el trabajo que determina si el sistema acaba siendo útil o ruido.
¿Sustituye al antivirus o al cortafuegos?
No, se apoya en ellos. De hecho recoge sus registros. La protección del puesto y el cortafuegos siguen haciendo su trabajo; el SIEM es la capa que mira todo a la vez y ve lo que por separado no se ve.
Veamos qué se está registrando hoy
Casi todas las empresas ya generan los registros necesarios: servidores, cortafuegos y Microsoft 365 los producen de serie. El problema es que nadie los lee y que se borran solos a los pocos días. Empecemos por ahí. Llámenos al 911 599 883 o escríbanos desde el formulario de contacto.
Forma parte de nuestra ciberseguridad gestionada.