No todos los sistemas SIEM son iguales, e idealmente, elegirás uno que tenga las fortalezas que necesitas, a un precio con el que estés conforme. Pero, ¿qué fortalezas necesitas realmente? Para eso tenemos una especie de lista de verificación de requisitos de SIEM. 

• Capacidades de integración de un activo de ciberseguridad: ¿La solución SIEM puede identificar fácilmente los tipos de un activo de ciberseguridad que tienes y vincular sus registros de datos sin problemas?

• Personalización de reglas: ¿Te permite definir reglas de detección específicas? Ten en cuenta que tu equipo igual necesitará saber qué eventos y con qué frecuencia debe detectarlos la solución SIEM. 

• Opciones de escaneo de red: ¿La plataforma SIEM admite escaneo tanto pasivo como activo para una visibilidad integral? El escaneo pasivo no es intrusivo, pero el escaneo activo es fundamental para obtener una imagen en tiempo real. 

Pase lo que pase, asegúrate de elegir una solución que haga lo que necesitas, sin sacrificar los resultados de seguridad.

Existen tres tipos principales de detección en los sistemas SIEM modernos:

• Reglas de correlación: Por ejemplo, tres intentos fallidos de contraseña en cinco minutos.

• Reglas basadas en comportamiento: Observan los patrones de los usuarios a lo largo del tiempo. 

• Alertas basadas en anomalías: Se enfocan en identificar errores inusuales del sistema o de las aplicaciones.

Ten en cuenta que cada tipo de regla requiere acciones distintas por parte de tu SIEM y de tu equipo de seguridad. 

En este sentido, las soluciones SIEM se dividen según dónde se realiza la mayor parte del "trabajo". Los tipos son:

• Managed SIEM: Donde un equipo remoto de terceros supervisa tus funciones y alertas de SIEM. Lo repetimos, esto es Huntress. 

• SIEM basado en cloud, o SIEM como servicio: Esto es rápido y escalable, pero muy poco práctico y requiere mucha confianza en tu proveedor. 

• SIEM local: Esta es la solución SIEM tradicional, donde el sistema existe y se administra en tus instalaciones. Es simple y seguro, pero puede ser costoso.

Finalmente, tenemos el contexto necesario para que una lista de verificación de auditoría SIEM tenga sentido. Las auditorías SIEM son procesos vitales que aseguran que tu solución SIEM funcione según lo previsto y que su configuración siga cumpliendo con las necesidades de seguridad de tu organización. Muchas organizaciones realizan una lista de verificación como esta anualmente o incluso varias veces al año. 

Tu lista de verificación de auditoría SIEM debe adaptarse a tu industria, nicho y forma de hacer negocios. Pero un buen punto de partida podría verse así:

1. Inventario de fuentes de registro

Revisa los distintos registros que alimentan tu sistema SIEM y asegúrate de que todos sean relevantes. Más importante aún, asegúrate de que no falte ninguno.

2. Verificación de retención e integridad

Asegúrate de que tu sistema SIEM retenga todos los registros que necesitas para fines de análisis forense y cumplimiento normativo. Además, asegúrate de que los retenga de forma íntegra y útil.

3. Cobertura de reglas

Las reglas que usa tu SIEM deben estar alineadas con tus necesidades reales de seguridad. También deben ser específicas, acotadas y contextuales. Espera tener que redefinirlas con frecuencia. 

4. Revisión de alertas y tasas de falsos positivos

Esto puede ser crucial. Si la tasa de falsos positivos es demasiado alta, necesitas reevaluar tus reglas. Pero si la tasa de falsos positivos es demasiado baja, podrías estar pasando por alto demasiadas amenazas reales.

5. Métricas de tiempo de respuesta

La elección de los KPI también es crucial. Te sugerimos comenzar con el MTTD (tiempo medio de detección). Cuanto más corto sea tu MTTD, mejor. 

6. Controles de acceso y privilegios

Audita quién tiene acceso a tu sistema SIEM y revisa sus permisos. Asegúrate de que se aplique el principio de privilegio mínimo, que la autenticación multifactor (MFA) esté habilitada y que existan controles de acceso basados en roles para limitar el uso indebido o la exposición accidental.

7. Mapeo de cumplimiento normativo

Confirma que las alertas y los informes de tu SIEM se correspondan con los marcos regulatorios pertinentes, como PCI, CMMC, HIPAA o GDPR. Asegúrate de que los auditores puedan extraer rápida y fácilmente la evidencia necesaria para demostrar el cumplimiento normativo.

8. Estado del sistema y mantenimiento

Audita los parches, las actualizaciones de software y las líneas base de rendimiento para mantener tu sistema SIEM. Revisa el uso de almacenamiento, el rendimiento de la indexación y otras métricas operativas para evitar tiempos de inactividad o una degradación del rendimiento del SIEM.

9. Documentación y almacenamiento de evidencia

El tiempo que tu SIEM retiene los registros y los datos de eventos de seguridad es importante tanto para su uso forense como para fines de cumplimiento normativo. Idealmente, estos datos deberían dividirse en distintas clases, cada una con sus propias políticas de retención.

Huntress Managed SIEM combina una detección de amenazas de primer nivel con soporte de cumplimiento integrado. Pero mejor aún, podemos crear una lista de verificación de auditoría de SIEM personalizada para tu organización y ofrecer auditorías e informes continuos sobre la eficacia del producto. Prueba nuestra demo gratuita y descubre qué puede hacer nuestra plataforma Managed SIEM por tu organización.