¿Qué es SIEM (Security Information and Event Management)?

La seguridad informática desempeña un papel importante en las empresas modernas. Los ciberdelincuentes buscan a diario la mínima vulnerabilidad para robar datos sensibles, introducir software malicioso o paralizar redes corporativas enteras. Además de las pérdidas millonarias que esto puede provocar, el efecto de estas acciones sobre la imagen de marca puede ser muy grave. Si se hace pública la noticia de que no cuidamos la seguridad de nuestros datos, la confianza de nuestros clientes actuales o potenciales puede deteriorarse de forma devastadora.

Los sistemas SIEM prometen evitar una situación de este tipo mediante la identificación de sucesos sospechosos y de las tendencias actuales de ataques. ¿Qué hay detrás de la gestión de información y eventos de seguridad? ¿Qué ventajas ofrece para tu negocio y cómo funciona exactamente?

SIEM significa Security Information and Event Management y es una combinación de dos conceptos: SIM (Security Information Management) y SEM (Security Event Management). Esta unión plantea un enfoque basado en software que permite obtener una visión completa de la seguridad informática. Un sistema SIEM considera en todo momento los requisitos específicos de la empresa, siempre que existan definiciones claras e individuales sobre qué procesos y eventos son relevantes para la seguridad, así como de qué manera y con qué prioridad es preciso reaccionar ante ellos. Por esta razón, el Security Information and Event Management puede entenderse también como un conjunto exhaustivo de normas para los estándares de seguridad existentes y de directrices para mantener la calidad de las operaciones informáticas de una empresa.

El objetivo del Security Information and Event Management es poder responder con rapidez y precisión ante las amenazas. Con un SIEM, los responsables informáticos obtienen una poderosa herramienta que les permite actuar no solo cuando ya sea demasiado tarde. A tal fin, los sistemas SIEM tratan de visibilizar los ataques o las tendencias de ataque en tiempo real mediante la recopilación y el análisis de mensajes ordinarios, notificaciones de alarma y archivos de registro en un lugar centralizado. Los distintos dispositivos, componentes y aplicaciones de la red corporativa de la empresa sirven como fuentes de datos. Algunos ejemplos son:

• Cortafuegos (software y hardware)
• Interruptores
• Routers
• Servidores (servidor de archivos, servidores FTP, servidores VPN, servidores proxy, etc.)
• Sistemas IDS e IPS

En la estación central SIEM, la información se almacena y se estructura, por un lado, y por otro, se establecen relaciones entre los datos que luego sirven para analizarlos. Los fundamentos típicos para el análisis y la evaluación son, entre otros, conjuntos de normas definidas, tecnología de IA, en especial de machine learning, y modelos de correlación.

Los diferentes resultados de evaluación y los indicadores se pueden inspeccionar en un tablero donde aparecerán reflejados claramente, y se podrán personalizar uno a uno para optimizar el sistema en función de las necesidades de la empresa. Si el sistema SIEM registra datos o eventos que pueden suponer un peligro inmediato para la seguridad de tu equipo, el usuario recibe una notificación inmediata, generalmente por correo electrónico.

Pese a que los riesgos críticos para la seguridad no se pueden evitar por completo en los entornos informáticos actuales, detectar y registrar los peligros a tiempo puede reducir al mínimo los perjuicios ocasionados. Si eres de los que aprovechan sus fortalezas, un sistema SIEM será la base perfecta sobre la que cimentar tu proyecto. La respuesta en tiempo real a los eventos de seguridad detectados es, en especial, uno de los puntos fuertes de una solución de este tipo. Los algoritmos que operan de forma automática y las herramientas de IA descubren peligros en momentos en los que las medidas de seguridad convencionales rara vez surten efecto.

Otra ventaja de las soluciones SIEM es que todos los eventos de seguridad se documentan y archivan automáticamente a prueba de manipulaciones. Eso hace que sea más fácil demostrar más adelante que se conocen y se han cumplido las normas aplicables a la seguridad de los datos y la privacidad. Como parte de un concepto de cumplimiento normativo individual interno de la empresa, el Security Information and Event Management también puede desempeñar un papel crucial.

Por último, un sistema SIEM también ayuda a optimizar los recursos humanos. Gracias al alto nivel de automatización vinculado a esta monitorización y análisis en tiempo real, el personal informático puede centrarse en los trabajos más importantes. De forma alternativa, los requisitos de personal pueden reducirse significativamente.

Una solución SIEM enriquece el sistema de seguridad informático de aquellas empresas que no se limitan a responder a las amenazas informáticas actuales y futuras, sino que se preparan con antelación. Específicamente, las empresas que tratan datos sensibles de clientes o que están supeditadas a operaciones de telecomunicaciones eficientes apuestan por sistemas de Security Information and Event Management precisamente por este motivo. Los siguientes ejemplos prácticos ilustran hasta qué punto puede valer la pena invertir en este tipo de sistemas.

Ejemplo práctico: ataque de fuerza bruta

Un usuario intenta en vano registrarse en varias aplicaciones de la red de trabajo. Después de varios intentos fallidos, se las arregla para iniciar sesión en una de las aplicaciones. Por supuesto, puede tratarse de un empleado que ha olvidado sus datos de acceso y finalmente los consigue recordar mediante el método de ensayo y error. No obstante, lo más probable es que tras este patrón de intentos se encuentre un atacante. En este caso, se trata de un ataque de fuerza bruta. Un sistema SIEM es muy fiable en la detección de este tipo de métodos de acceso y ofrece la oportunidad de impedir que se produzcan nuevos intentos de inicio de sesión.

Ejemplo práctico: intentos de acceso a VPN

Los accesos remotos por VPN son comunes dentro de muchas redes de trabajo empresariales. Desenmascarar a aquellos atacantes que se aprovechan de la estructura de estas redes privadas virtuales también es importante. Una solución de Security Information and Event Management puede, por ejemplo, clasificar como actividad sospechosa un intento repetido de inicio de sesión en la red VPN en un breve período de tiempo desde diferentes ubicaciones.