Gestión de eventos e información de seguridad (SIEM)

¿Qué es SIEM (gestión de eventos e información de seguridad)?

SIEM, siglas de gestión de eventos e información de seguridad, es un sistema que centraliza la recopilación, el almacenamiento y la gestión de los registros generados por diversos dispositivos y programas, los analiza en tiempo real para detectar amenazas de seguridad y emite alertas cuando se producen eventos anómalos. El término SIEM también hace referencia al software utilizado para este fin.

Entre las principales características de SIEM se incluyen:

• Recopilación y almacenamiento de registros de eventos:
  Los sistemas SIEM recopilan y almacenan registros de eventos relacionados con la seguridad procedentes de diversas fuentes, como cortafuegos, WAF, software antivirus, servidores proxy, sistemas operativos y aplicaciones. Sin embargo, recopilar demasiados registros puede aumentar la carga de trabajo operativa y complicar procesos como la normalización. Por lo tanto, es fundamental priorizar y seleccionar cuidadosamente las fuentes de los registros.
• Normalización de los datos de registro:
  Los datos recopilados deben unificarse en cuanto a formato e interpretación, eliminando al mismo tiempo las redundancias. Este proceso se denomina normalización.
• Análisis de correlación entre datos de registro:
  Algunas amenazas de seguridad no pueden detectarse únicamente a partir de una sola entrada de registro. Los sistemas SIEM analizan conjuntamente varias entradas de registro para identificar patrones y amenazas que los registros individuales no permiten detectar. Por ejemplo, los ataques con listas de contraseñas generan muchos menos intentos de inicio de sesión que los ataques de fuerza bruta, por lo que pueden confundirse con errores habituales de los usuarios al introducir sus credenciales. Al agrupar los registros según la dirección IP de origen y detectar varios intentos de inicio de sesión con distintos identificadores desde una misma IP, un sistema SIEM puede identificar ataques con listas de contraseñas.
• Alertas e informes:
  Si el SIEM identifica eventos que indican posibles amenazas de seguridad, envía alertas a los administradores. Además, genera informes que presentan visualmente estos eventos, lo que permite mejorar la gestión y optimización de las medidas de seguridad.

BIG-IP de F5 registra una gran cantidad de datos relacionados con la seguridad y puede integrarse con diversas herramientas SIEM, lo que refuerza aún más las medidas de seguridad mediante un análisis exhaustivo de los datos y la detección de amenazas.