Gestión de información y eventos de seguridad

La gestión de información y eventos de seguridad ( SIEM ) es un campo dentro de la seguridad informática que combina la gestión de información de seguridad (SIM) y la gestión de eventos de seguridad (SEM) para permitir el análisis en tiempo real de las alertas de seguridad generadas por aplicaciones y hardware de red. ^{[ 1 ] [ 2 ]} Los sistemas SIEM son fundamentales para los centros de operaciones de seguridad (SOC), donde se emplean para detectar, investigar y responder a incidentes de seguridad. ^{[ 3 ]} La tecnología SIEM recopila y agrega datos de varios sistemas, lo que permite a las organizaciones cumplir con los requisitos de cumplimiento mientras se protegen contra las amenazas . La definición de NIST para una herramienta SIEM es una aplicación que proporciona la capacidad de recopilar datos de seguridad de los componentes del sistema de información y presentar esos datos como información procesable a través de una única interfaz. ^{[ 4 ]}

Las herramientas SIEM pueden implementarse como software, hardware o servicios gestionados. ^{[ 5 ]} Los sistemas SIEM registran eventos de seguridad y generan informes para cumplir con marcos regulatorios como la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) y el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS). La integración de SIM y SEM dentro de SIEM proporciona a las organizaciones un enfoque centralizado para monitorear eventos de seguridad y responder a amenazas en tiempo real.

Introducido por primera vez por los analistas de Gartner Mark Nicolett y Amrit Williams en 2005, el término SIEM ha evolucionado para incorporar funciones avanzadas como la inteligencia de amenazas y el análisis del comportamiento, que permiten a las soluciones SIEM gestionar amenazas complejas de ciberseguridad, incluidas las vulnerabilidades de día cero y el malware polimórfico .

En los últimos años, la gestión de incidentes de seguridad informática (SIEM) se ha integrado cada vez más en las iniciativas nacionales de ciberseguridad. Por ejemplo, la Orden Ejecutiva 14028, firmada en 2021 por el presidente estadounidense Joseph Biden, exige el uso de tecnologías SIEM para mejorar la detección y el reporte de incidentes en los sistemas federales. El cumplimiento de estas normativas se ve reforzado por marcos como el NIST SP 800-92, que describe las mejores prácticas para la gestión de registros de seguridad informática. ^{[ 2 ]}

Las plataformas SIEM modernas agregan y normalizan datos no solo de diversas fuentes de tecnología de la información (TI) , sino también de entornos de tecnología operativa (TO) de producción y fabricación .

Inicialmente, el registro del sistema se utilizaba principalmente para la resolución de problemas y la depuración. Sin embargo, a medida que los sistemas operativos y las redes se han vuelto más complejos, también lo ha hecho la generación de registros del sistema. La monitorización de estos registros se ha generalizado debido al aumento de los ciberataques sofisticados y a la necesidad de cumplir con los marcos regulatorios, que exigen controles de seguridad de registro dentro de los marcos de gestión de riesgos (RMF).

A partir de finales de la década de 1970, los grupos de trabajo comenzaron a establecer criterios para la gestión de programas de auditoría y monitoreo, sentando las bases de las prácticas modernas de ciberseguridad, como la detección de amenazas internas y la respuesta a incidentes. Una publicación clave durante este período fue la Publicación Especial 500-19 del NIST. ^{[ 6 ]}

En 2005, los analistas de Gartner, Mark Nicolett y Amrit Williams, introdujeron el término "SIEM" (Gestión de Información y Eventos de Seguridad). Los sistemas SIEM proporcionan una interfaz única para recopilar datos de seguridad de los sistemas de información y presentarlos como inteligencia procesable. ^{[ 7 ]} El Instituto Nacional de Estándares y Tecnología proporciona la siguiente definición de SIEM: "Aplicación que proporciona la capacidad de recopilar datos de seguridad de los componentes del sistema de información y presentar esos datos como información procesable a través de una única interfaz". ^{[ 2 ]}  Además, el NIST ha diseñado e implementado un RMF de mandato federal.

Con la implementación global de los Marcos de Gestión de Riesgos (RMF), la auditoría y el monitoreo se han convertido en elementos centrales de la seguridad y la garantía de la información . Los profesionales de la ciberseguridad ahora dependen de los datos de registro para realizar funciones de seguridad en tiempo real, impulsados ​​por modelos de gobernanza que integran estos procesos en las tareas analíticas. A medida que la garantía de la información maduró a finales de la década de 1990 y durante la década de 2000, se hizo evidente la necesidad de centralizar los registros del sistema. La gestión centralizada de registros facilita la supervisión y la coordinación entre los sistemas en red.

El 17 de mayo de 2021, el presidente de Estados Unidos, Joseph Biden, firmó la Orden Ejecutiva 14028, «Mejora de la Ciberseguridad Nacional», que estableció requisitos de registro adicionales, incluyendo el registro de auditoría y la protección de los puntos finales, para mejorar las capacidades de respuesta ante incidentes. ^{[ 8 ]} Esta orden fue una respuesta al aumento de los ataques de ransomware dirigidos a infraestructuras críticas. Al reforzar los controles de garantía de la información dentro de los marcos de gestión de riesgos (RMF), la orden buscaba impulsar el cumplimiento y asegurar la financiación para las iniciativas de ciberseguridad.

Publicada en septiembre de 2006, la Guía NIST SP 800-92 para la gestión de registros de seguridad informática constituye un documento clave dentro del Marco de Gestión de Riesgos del NIST para orientar sobre qué debe ser auditable. Como indica la ausencia del término "SIEM", el documento se publicó antes de la adopción generalizada de las tecnologías SIEM. ^{[ 9 ] [ 10 ]} Si bien la guía no es exhaustiva debido a los rápidos cambios tecnológicos desde su publicación, sigue siendo relevante al anticipar el crecimiento del sector. El NIST no es la única fuente de orientación sobre mecanismos regulatorios para la auditoría y el monitoreo, y se alienta a muchas organizaciones a adoptar soluciones SIEM en lugar de depender únicamente de las comprobaciones basadas en el host.

Varias regulaciones y estándares hacen referencia a la guía de registro del NIST, incluyendo la Ley Federal de Gestión de la Seguridad de la Información (FISMA), ^{[ 11 ]} la Ley Gramm-Leach-Bliley (GLBA), ^{[ 12 ]} la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA), ^{[ 13 ]} la Ley Sarbanes-Oxley (SOX) de 2002, ^{[ 14 ]} el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS), ^{[ 15 ]} e ISO 27001. ^{[ 16 ]} Las organizaciones públicas y privadas frecuentemente hacen referencia a los documentos del NIST en sus políticas de seguridad.

El control de seguridad clave NIST SP 800-53 AU-2, relativo a la monitorización de eventos, respalda la auditoría del sistema y garantiza la monitorización continua de las operaciones de seguridad de la información y ciberseguridad. Las soluciones SIEM se emplean habitualmente como herramientas centrales para estas tareas. Los sistemas federales, categorizados según su impacto en la confidencialidad, la integridad y la disponibilidad (CIA), tienen cinco requisitos de registro específicos (AU-2 ae) que deben cumplirse. ^{[ 17 ]} Si bien es posible registrar cada acción, generalmente no se recomienda debido al volumen de registros y a la necesidad de datos de seguridad procesables. AU-2 proporciona una base para que las organizaciones desarrollen una estrategia de registro que se alinee con otros controles.

La norma NIST SP 800-53 SI-4, Monitoreo de Sistemas, describe los requisitos para monitorear sistemas, incluyendo la detección de accesos no autorizados y el seguimiento de anomalías, malware y posibles ataques. Este control de seguridad especifica los requisitos de hardware y software para detectar actividades sospechosas. ^{[ 18 ]} De manera similar, la norma NIST SP 800-53 RA-10, Búsqueda de Amenazas, agregada en la Revisión 5, enfatiza la defensa proactiva de la red mediante la identificación de amenazas que eluden los controles tradicionales. Las soluciones SIEM desempeñan un papel fundamental en la agregación de información de seguridad para los equipos de búsqueda de amenazas. ^{[ 19 ]}

En conjunto, AU-2, SI-4 y RA-10 demuestran cómo los controles del NIST se integran en una estrategia de seguridad integral. Estos controles, respaldados por soluciones SIEM, ayudan a garantizar la monitorización continua, las evaluaciones de riesgos y los mecanismos de defensa exhaustivos en redes federales y privadas. ^{[ 19 ]}

Los acrónimos SEM , SIM y SIEM se han utilizado a veces indistintamente, ^{[ 20 ]} pero generalmente se refieren al enfoque principal diferente de los productos:

• Gestión de registros : Centrarse en la recopilación y el almacenamiento sencillos de mensajes de registro y pistas de auditoría . ^{[ 9 ]}
• Gestión de la información de seguridad ( SIM ): Almacenamiento a largo plazo, así como análisis e informes de datos de registro. ^{[ 21 ]}
• Gestor de eventos de seguridad ( SEM ): Monitorización en tiempo real, correlación de eventos, notificaciones y vistas de consola.
• Gestión de información y eventos de seguridad (SIEM): Combina SIM y SEM y proporciona análisis en tiempo real de las alertas de seguridad generadas por el hardware y las aplicaciones de la red. ^{[ 5 ]}
• Servicio de seguridad gestionado ( MSS ) o proveedor de servicios de seguridad gestionados (MSSP): Los servicios gestionados más comunes parecen girar en torno a la conectividad y el ancho de banda, la monitorización de la red, la seguridad, la virtualización y la recuperación ante desastres.
• Seguridad como servicio ( SECaaS ) : Estos servicios de seguridad suelen incluir autenticación , antivirus , antimalware /antispyware, detección de intrusiones , pruebas de penetración y gestión de eventos de seguridad, entre otros.

En la práctica, muchos productos en este ámbito combinan estas funciones, por lo que suele haber cierta superposición; además, muchos proveedores comerciales también promueven su propia terminología. ^{[ 22 ]} A menudo, los proveedores comerciales ofrecen diferentes combinaciones de estas funcionalidades, lo que tiende a mejorar el SIEM en general. La gestión de registros por sí sola no proporciona información en tiempo real sobre la seguridad de la red, y el SEM por sí solo no proporciona datos completos para un análisis profundo de amenazas. Cuando se combinan el SEM y la gestión de registros, el SIEM dispone de más información para su monitorización.

Un objetivo clave es supervisar y ayudar a gestionar los privilegios de usuario y servicio, los servicios de directorio y otros cambios de configuración del sistema; así como proporcionar auditoría y revisión de registros y respuesta a incidentes. ^{[ 21 ]}

• Agregación de datos: La gestión de registros agrega datos de muchas fuentes, incluidas redes, seguridad, servidores, bases de datos y aplicaciones, lo que permite consolidar los datos monitorizados para evitar pasar por alto eventos cruciales.
• Correlación: Busca atributos comunes y vincula eventos para formar conjuntos significativos. Esta tecnología permite realizar diversas técnicas de correlación para integrar diferentes fuentes y convertir los datos en información útil. La correlación suele ser una función del módulo de Gestión de Eventos de Seguridad (SIEM) de una solución SIEM completa. ^{[ 23 ]}
• Alertas: Análisis automatizado de eventos correlacionados.
• Paneles de control: Estas herramientas pueden tomar datos de eventos y convertirlos en gráficos informativos para ayudar a ver patrones o identificar actividades que no siguen un patrón estándar.
• Cumplimiento: Se pueden emplear aplicaciones para automatizar la recopilación de datos de cumplimiento, generando informes que se adaptan a los procesos de seguridad, gobernanza y auditoría existentes. ^{[ 24 ]}
• Retención: El uso del almacenamiento a largo plazo de datos históricos facilita la correlación de datos a lo largo del tiempo y proporciona la retención necesaria para cumplir con los requisitos normativos. La retención de datos de registro a largo plazo es fundamental en las investigaciones forenses, ya que es improbable que el descubrimiento de una brecha de seguridad en la red se produzca en el momento en que ocurre. ^{[ 25 ]}
• Análisis forense: La capacidad de buscar en registros de diferentes nodos y períodos de tiempo según criterios específicos. Esto evita tener que recopilar información de registro mentalmente o tener que buscar entre miles y miles de registros. ^{[ 24 ]}

Las arquitecturas SIEM pueden variar según el proveedor; sin embargo, en general, los componentes esenciales conforman el motor SIEM. Los componentes esenciales de un SIEM son los siguientes: ^{[ 26 ]}

• Un recolector de datos reenvía los registros de auditoría seleccionados desde un host (transmisión de registros basada en agente o basada en host a un punto de indexación y agregación) ^{[ 27 ] [ 28 ]}
• Punto de agregación de ingesta e indexación para análisis, correlación y normalización de datos ^{[ 29 ]}
• Un nodo de búsqueda que se utiliza para visualización, consultas, informes y alertas (el análisis se realiza en un nodo de búsqueda) ^{[ 30 ]}

En la imagen de la derecha se muestra una infraestructura SIEM básica.

El investigador de seguridad informática Chris Kubecka identificó los siguientes casos de uso de SIEM, presentados en la conferencia de hacking 28C3 ( Chaos Communication Congress ). ^{[ 31 ]}

• La visibilidad y la detección de anomalías de SIEM podrían ayudar a detectar vulnerabilidades de día cero o código polimórfico . Esto se debe principalmente a las bajas tasas de detección de los antivirus contra este tipo de malware que cambia rápidamente.
• El análisis, la normalización y la categorización de los registros pueden realizarse automáticamente, independientemente del tipo de ordenador o dispositivo de red, siempre que pueda enviar un registro.
• La visualización mediante un SIEM que utiliza eventos de seguridad y registros de fallos puede ayudar a detectar patrones.
• Las anomalías de protocolo que pueden indicar una configuración incorrecta o un problema de seguridad pueden identificarse con un SIEM mediante la detección de patrones, las alertas, la configuración de líneas base y los paneles de control.
• SIEMS puede detectar comunicaciones encubiertas y maliciosas, así como canales cifrados.
• Los sistemas SIEM permiten detectar con precisión la ciberguerra , descubriendo tanto a los atacantes como a las víctimas.

Las plataformas SIEM modernas no solo permiten la detección, sino también la respuesta. Esta respuesta puede ser manual o automatizada, incluyendo respuestas basadas en inteligencia artificial.

Los sistemas SIEM pueden tener cientos o miles de reglas de correlación. Algunas son sencillas, otras más complejas. Una vez que se activa una regla de correlación, el sistema puede tomar las medidas adecuadas para mitigar un ciberataque. Por lo general, esto incluye enviar una notificación al usuario y, posteriormente, limitar o incluso desactivar el sistema.

Algunos ejemplos de reglas personalizadas para alertar sobre condiciones de eventos incluyen reglas de autenticación de usuarios, ataques detectados e infecciones detectadas. ^{[ 32 ]}

• Gestión de incidentes de seguridad informática
• Modelo Gordon-Loeb para inversiones en ciberseguridad
• riesgo informático
• Gestión de registros
• Detección y respuesta extendida (XDR)
• Detección y respuesta en el punto final (EDR)
• Detección y respuesta de red (NDR)
• Orquestación , automatización y respuesta de seguridad

• Reglas esenciales de correlación SIEM para el cumplimiento normativo .