La correlación de eventos es el análisis conjunto de registros (logs) de distintas fuentes, como firewalls, servidores y endpoints, para identificar patrones que por separado parecen inofensivos pero juntos revelan un ataque. La realiza un SIEM (gestión de información y eventos de seguridad) con reglas y modelos de comportamiento. Por ejemplo, diez accesos fallidos seguidos de uno exitoso desde otro país generan una alerta.
Profundiza este tema en nuestro TecnetBlog: Correlación de eventos: clave para identificar ataques
event correlation, correlación de logs, correlación SIEM, reglas de correlación, análisis de eventos de seguridad
Términos relacionados
Microsoft Sentinel
Microsoft Sentinel es la plataforma en la nube de Microsoft que funciona como SIEM (gestión de información y eventos de seguridad) y SOAR (orquestación, automatización y respuesta de seguridad). Reúne registros de Microsoft 365, Azure, firewalls y otras fuentes, detecta amenazas con reglas y análisis de comportamiento, y automatiza respuestas. Antes se llamaba Azure Sentinel y sus consultas usan el lenguaje KQL (Kusto Query Language).
Contención y erradicación de incidentes
La contención y la erradicación son dos fases de la respuesta a incidentes. La contención limita el daño y evita que el ataque se extienda, por ejemplo aislando un equipo de la red o deshabilitando una cuenta comprometida. La erradicación elimina la causa: borra el malware, corrige la vulnerabilidad explotada y retira los accesos del atacante antes de pasar a la recuperación.
Fatiga de alertas
La fatiga de alertas es el desgaste que sufren los analistas de seguridad cuando reciben más alertas de las que pueden revisar, muchas de ellas falsos positivos. El volumen reduce la atención y aumenta la probabilidad de pasar por alto un incidente real entre el ruido. Se reduce afinando las reglas de detección, correlacionando eventos, eliminando alertas duplicadas y automatizando parte del triaje.
Triaje de alertas
El triaje de alertas es el proceso de revisar, clasificar y priorizar las alertas de seguridad para decidir cuáles son incidentes reales y cuáles se atienden primero. El analista la valida con contexto del equipo, del usuario y de inteligencia de amenazas, y la descarta como falso positivo o la escala. Es tarea del nivel 1 de un SOC (centro de operaciones de seguridad).
Niveles del SOC (tier 1, 2 y 3)
Los niveles del SOC (centro de operaciones de seguridad) reparten el trabajo de sus analistas. El nivel 1 (tier 1) revisa cada alerta y decide si es real; el nivel 2 investiga los casos confirmados y los contiene; el nivel 3 busca amenazas que las reglas no detectaron y mejora la detección. Cada nivel escala al siguiente lo que no puede resolver.
BAS (simulación de brechas y ataques)
La simulación de brechas y ataques (BAS, breach and attack simulation) es una tecnología que ejecuta de forma automática y continua técnicas de ataque reales, sin dañar los sistemas, para comprobar si los controles de seguridad las bloquean o detectan. A diferencia de una prueba de penetración puntual, repite las pruebas con frecuencia y muestra qué controles necesitan ajustes.
¿Quieres pasar del concepto a tu operación?
Cuéntanos qué necesitas y un ingeniero de TecnetOne te responde.
Hablar con un ingenieroHablar con un ingeniero
Cuéntanos qué necesitas y te respondemos el mismo día hábil.