Sistemas corporativos SIEM I WatchGuard Blog

En una compañía se puede acumular una ingente cantidad de información que los responsables del equipo no son capaces de monitorizar de forma instantánea. Esto puede suponer que alertas de seguridad prioritarias pasen desapercibidas o que al no disponer de la tecnología adecuada se consideren una “falsa alarma” y no se actúe a tiempo.

Un sistema de Gestión de Eventos e Información de Seguridad (SIEM) se especializa en priorizar las alertas críticas del resto de información recibida en tiempo real, adaptándose así a las necesidades de cualquier organización. Esto se logra mediante la incorporación de feeds y logs múltiples de inteligencia según los criterios y necesidades que establezca el departamento de TI. Así se consigue categorizar los eventos y dar contexto a las alertas recibidas por amenazas en ciberseguridad.

Estos son los principales beneficios de contar con sistemas corporativos SIEM:

El sistema SIEM garantiza que las alertas lleguen a las personas adecuadas para encargarse de la investigación contextualizada y de establecer mecanismos de corrección, lo que ahorra a los analistas el tiempo de tener que interpretar la información procedente de tantas fuentes diferentes.
Reduce los costes de la compañía, tanto en infraestructura - al obtener visibilidad completa del uso que hacen de ella los sistemas que acceden a la red- como en el consumo de recursos. Un ejemplo práctico es que el sistema SIEM puede analizar el ancho de banda que utilizan las máquinas y generar un evento en el que avise si una de ellas está consumiendo más recursos de los que debería. Así, el departamento de TI puede revisar la máquina y detectar su anomalía. De esta manera, SIEM permite una mejor gestión de los recursos de seguridad, lo que se traduce en un ahorro de costes.
Restaurar configuraciones de ciberseguridad en caso de que se hayan cambiado por error lo que podría dejar a una organización peligrosamente expuesta ante cualquier amenaza. SIEM puede detectar automáticamente un cambio en la configuración y generar un evento al analista de seguridad de la compañía. Con este aviso, el analista revisa el cambio y en caso de suponer un riesgo para la compañía se puede restaurar a la configuración anterior.
Detectar actividades operativas de mantenimiento en la infraestructura de los negocios que pudiesen suponer un peligro para la organización. El gestor incorpora la función de crear un evento ante cualquier cambio en el registro de las actividades de mantenimiento de la empresa, así como en Windows; ya que en caso de actividad maliciosa será el responsable de ciberseguridad quien valide o no dichos ajustes.
Control y protección de los ciberataques, con el fin de actuar a tiempo antes de que suponga un problema irreversible, filtrando cuando es un ataque real o una “falsa alarma”. En este apartado, debemos analizar los ataques conocidos o desconocidos, ya sean del tipo “malwareless attack”, que recurren a las herramientas legítimas del propio sistema, como de DDoS o de Amenazas Persistentes Avanzadas.

En el caso de los ataques por malware, los registros de seguridad habituales pueden enviar alertas tanto por un ataque real como por una falsa alarma. Para evitar una saturación de alertas, las soluciones SIEM utilizan la correlación de eventos para determinar con precisión cuáles son ataques por malware y cuáles no, así como los posibles puntos de origen de dicho ataque.

En ataques DDoS, SIEM es capaz de marcar un evento de este tipo a partir de los registros de tráfico web, priorizando el evento y enviándolo a un analista para que lo investigue antes de provocar una ralentización o una caída total del servicio de la compañía.

Por último, en las Amenazas Persistentes Avanzadas (APT), debido a su complejidad, es posible que no desencadenen alertas o que al detectarlas se considere una “falsa alarma”. Contar con una solución SIEM ayuda a demostrar un patrón de comportamiento anómalo, señalándolo como una verdadera preocupación que los analistas de seguridad deben investigar.

Ante el valor diferenciador de esta solución, WatchGuard ha incorporado su módulo SIEMFeeder a WatchGuard EDR y EDPR, para recopilar y correlacionar el estado de sistemas de TI, permitiendo de esta manera a las organizaciones convertir grandes volúmenes de datos en información útil para su toma de decisiones.