Aquí tienes seis buenas prácticas que aplican a casi toda organización en el mundo. Veremos cada una a continuación. Ten en cuenta, sin embargo, que cada empresa y organización tiene su propio nicho, y tu nicho podría generar algunas prácticas de SIEM igual de vitales para tu ciberseguridad que no cubrimos aquí.

1. Haz que el SIEM forme parte de tu stack de seguridad

Un SIEM moderno es un componente clave de cualquier estrategia sólida de ciberseguridad. El SIEM da visibilidad y control en todo tu entorno, desde la detección de amenazas en tiempo real hasta las alertas y el soporte de cumplimiento normativo. Integrarlo en tu stack de seguridad asegura que siempre estés preparado tanto para amenazas comunes como emergentes. 

2. Prioriza primero las fuentes de registros de alto valor

El enfoque ha dejado de ser recopilar y analizar cada fragmento de dato que pasa por tu sistema. Las buenas prácticas modernas de SIEM se centran en priorizar los registros de tu infraestructura más crítica. Estos pueden ser endpoints, servidores web, firewalls, bases de datos o controladores de dominio, pero sin duda variarán de una organización a otra. Idealmente, también deberías incorporar inteligencia de amenazas externa al proceso. 

3. Ajusta continuamente las reglas de correlación

Las buenas prácticas de monitoreo de SIEM son prácticamente universales. Necesitarás ajustar constantemente tus reglas de detección para descubrir los patrones de eventos que generan alertas de verdaderos positivos. Esto forma parte de un proceso llamado optimización de SIEM, que también debería incluir revisiones periódicas de salud del SIEM, optimización del almacenamiento de registros y datos, integración de nueva inteligencia de amenazas, y normalización y enriquecimiento de datos.

4. Automatiza la supresión de alertas ruidosas

Las buenas prácticas de alertas de SIEM también requieren suprimir las alertas que distraen a tu equipo cuando debería estar haciendo otra cosa. Una de las mejores formas de lograrlo es integrando herramientas de SOAR en tu SIEM (algo que Huntress Managed SIEM hace desde el primer momento). 

Esta capacidad permite automatizar respuestas básicas y urgentes ante incidentes, y agiliza enormemente el flujo de trabajo de tu equipo de seguridad de TI. Además, automatizar el proceso de alertar a tu equipo de seguridad sobre eventos críticos ayuda mucho a garantizar que no se pierda ninguna oportunidad de mejorar la postura de seguridad. 

5. Vincula los datos del SIEM con los manuales de respuesta a incidentes

Una vez que tengas procedimientos claros y efectivos para manejar los incidentes de seguridad que detecta tu SIEM, la batalla está prácticamente ganada. Asegúrate de que la política cubra detección, contención, intervención y recuperación.

6. Mide los KPI (MTTD, MTTR) y ajusta

Por lo general, los sistemas SIEM se clasifican según dónde residen o dónde trabajan sus operadores. Por ejemplo:

• El SIEM local es el estándar antiguo, donde el sistema reside en un servidor local y tu propio equipo de seguridad lo opera.

• Las soluciones SIEM basadas en la cloud funcionan en gran parte sin supervisión humana directa desde un servidor remoto, y por lo general envían los resultados a un panel. 

• Los sistemas Managed SIEM, donde un equipo de seguridad externo o un SOC supervisa el SIEM.

En cuanto a las buenas prácticas de SIEM, las funciones principales del SIEM son lo que hace por ti:

• Soporte de cumplimiento normativo y forense

• Visibilidad de red al minuto

• Automatización de funciones de seguridad

La manera más eficaz de garantizar que las mejores prácticas de SIEM estén implementadas es usar una solución de SIEM administrado como Huntress Managed SIEM. Redefinimos, medimos, reevaluamos y optimizamos regularmente todas las funciones de SIEM de nuestros clientes, desde las reglas de detección hasta la remediación y la automatización. Reserva una demo y descubre cómo Huntress ayuda a que la postura de seguridad evolucione junto con las amenazas actuales.