[et_pb_section fb_built=\u00bb1″ admin_label=\u00bbSection\u00bb _builder_version=\u00bb4.22.0″ _module_preset=\u00bbdefault\u00bb custom_margin=\u00bb0px||0px||false|false\u00bb custom_padding=\u00bb0px||0px||false|false\u00bb locked=\u00bboff\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_row column_structure=\u00bb1_4,3_4″ _builder_version=\u00bb4.27.0″ _module_preset=\u00bbdefault\u00bb custom_padding=\u00bb50px||||false|false\u00bb custom_css_main_element=\u00bbz-index:0!important;\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_column type=\u00bb1_4″ disabled_on=\u00bbon|on|off\u00bb _builder_version=\u00bb4.22.0″ _module_preset=\u00bbdefault\u00bb custom_padding=\u00bb||||false|false\u00bb sticky_position=\u00bbtop\u00bb sticky_offset_top=\u00bb100px\u00bb sticky_limit_bottom=\u00bbsection\u00bb motion_trigger_start=\u00bbtop\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_text admin_label=\u00bbindice\u00bb _builder_version=\u00bb4.27.4″ _module_preset=\u00bbdefault\u00bb custom_margin=\u00bb||0px||false|false\u00bb custom_padding=\u00bb||14px||false|false\u00bb link_option_url=\u00bb#1″ global_colors_info=\u00bb{}\u00bb]<\/p>\n
Secciones<\/strong><\/p>\n [\/et_pb_text][\/et_pb_column][et_pb_column type=\u00bb3_4″ _builder_version=\u00bb4.27.0″ _module_preset=\u00bbdefault\u00bb custom_css_main_element=\u00bbz-index:0!important;\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_text admin_label=\u00bbseccion\u00bb module_id=\u00bb1″ module_class=\u00bbittopicscontent\u00bb _builder_version=\u00bb4.27.4″ _module_preset=\u00bbdefault\u00bb z_index=\u00bb0″ custom_margin=\u00bb0px||0px||true|false\u00bb custom_padding=\u00bb0px||0px||false|false\u00bb hover_enabled=\u00bb0″ custom_css_main_element=\u00bbfont-family:%22Pandora-Light%22;\u00bb locked=\u00bboff\u00bb global_colors_info=\u00bb{}\u00bb sticky_enabled=\u00bb0″]\u00bfHas visto Amanecer de los muertos? Porque los responsables de ciberseguridad la protagonizan a diario, rodeados por ataques cada vez m\u00e1s sofisticados en oleadas que no cesan. Toda ayuda es poca y aqu\u00ed entran herramientas como SIEM, SOAR<\/a> o XDR, tres pilares fundamentales de la seguridad moderna<\/strong>. Con el desembarco de los XDR en la batalla por la seguridad moderna<\/a>, a veces surge el comentario de que basta con esta tecnolog\u00eda, pudiendo guardar SIEM y SOAR en el armario. M\u00e1s adelante, veremos que un SOC se beneficia de la capacidad del SIEM como repositorio central de toda la telemetr\u00eda de la organizaci\u00f3n, una single source of truth como dice un amigo, vital para investigaciones forenses<\/a> y auditor\u00edas. Una herramienta SIEM (Security Information and Event Management), como Pandora SIEM, es la plataforma que centraliza, normaliza y correlaciona logs de m\u00faltiples fuentes (redes, servidores, aplicaciones…) para detectar amenazas, generar alertas y cumplir con normativas<\/strong>. El SIEM ha sido durante a\u00f1os la columna vertebral del Centro de Operaciones de Seguridad (SOC) realizando:<\/p>\n Ning\u00fan an\u00e1lisis ser\u00eda honesto sin mencionar los desaf\u00edos de cada herramienta en la ciberseguridad actual (que es un conflicto sin cuartel). El SIEM no desaparece en una infraestructura de seguridad moderna, su papel sigue siendo clave como:<\/p>\n SOAR (Security Orchestration, Automation and Response), es la herramienta que automatiza y coordina (orquesta) tareas de respuesta a incidentes<\/a><\/strong>, usando playbooks predefinidos. Mientras que SIEM se centra en la detecci\u00f3n, SOAR se centra en la primera respuesta. Un SIEM dice \u00abalgo malo est\u00e1 pasando\u00bb, un SOAR \u00abhace algo al respecto\u00bb autom\u00e1ticamente. La potencia del SOAR reside en sus playbooks, flujos de trabajo predefinidos y automatizados<\/strong> para manejar incidentes de seguridad comunes. Ejemplos de uso y funciones en nuestra infraestructura de seguridad ser\u00edan:<\/p>\n De nuevo vemos el poder de combinar SIEM y SOAR: el SIEM correlaciona y descubre incidentes como el ojo de Sauron que no deja de mirar por los rincones, mientras que SOAR tiene preparadas las contramedidas ante cualquier cosa que surja cuando el SIEM levante una alfombra y surja la sorpresa. Una de las principales evoluciones en seguridad es el concepto XDR (Extended detection and response), que viene a cubrir una de las principales carencias de los EDR. En este caso, en lugar de tener un Terminator T-800 en los equipos, como en el caso de los EDR, evolucionamos a un T-1000 mucho m\u00e1s vers\u00e1til y capaz de actuar, no solamente en endpoints, sino en muchos m\u00e1s \u00e1mbitos. Cuando hablamos de XDR, solemos encontrar 2 tipos:<\/p>\n El XDR act\u00faa como un multiplicador de fuerza<\/strong> para los analistas, cambiando el viejo tanque del EDR por una nave capaz de operar en m\u00e1s \u00e1mbitos de manera m\u00e1s efectiva con:<\/p>\n Como ya anticipaba, XDR intenta jugar a todo, aglutinando capacidades de los EDR (con mayor alcance), SIEM y SOAR, al poseer prestaciones de detecci\u00f3n, an\u00e1lisis y respuesta.<\/p>\n Ahora que conocemos las opciones, vamos a ponerlas frente a frente.<\/p>\n\n
\nPor eso, analizaremos cada uno de ellos y c\u00f3mo elegir la mejor combinaci\u00f3n en nuestro caso. El objetivo es levantar una Fortaleza de la Soledad inexpugnable que proteja nuestra infraestructura IT.
\nCon eso, tambi\u00e9n aclararemos confusiones habituales, especialmente con el XDR, ya que el solapamiento de prestaciones, el malvado marketing intentando vender como sea o el desconocimiento de las funciones de cada herramienta puede llevar a equ\u00edvocos.<\/p>\nEl mito de que un XDR puede sustituir a un SIEM y\/o SOAR<\/h2>\n
\nNada m\u00e1s lejos de la realidad<\/strong> porque, como veremos, por bueno que sea el XDR, y lo mucho que intente hacer de SIEM y SOAR, se quedar\u00e1 corto en muchas situaciones y tareas de seguridad, como: ciertas infraestructuras h\u00edbridas, cumplimientos normativos, auditor\u00edas, coordinaci\u00f3n de herramientas heterog\u00e9neas…
\nNuestra infraestructura IT no se parecer\u00e1 a la del vecino en requisitos, normativa o elementos. Y esos monstruos de Frankenstein en los que se convierten a veces exigen una flexibilidad y prestaciones que un XDR no podr\u00e1 proporcionar siempre.<\/p>\nLo que sigue aportando SIEM y SOAR en un SOC moderno<\/h3>\n
\nIgualmente, el SOAR<\/strong> aporta una automatizaci\u00f3n que permite responder a incidentes de forma consistente y r\u00e1pida, incluso con pocos efectivos humanos.
\nAmbas cosas ser\u00e1n dif\u00edciles de conseguir al mismo nivel de efectividad con un XDR solamente, as\u00ed que hemos de conocer bien a los concursantes para ver cu\u00e1les precisamos en nuestro puzzle particular de seguridad.<\/p>\nSIEM: el pilar cl\u00e1sico del SOC<\/h2>\n
\nEso s\u00ed, no act\u00faa sobre eso, depende de reglas y an\u00e1lisis humano.
\nImagina la computadora del Enterprise en Star Trek, que conoce todo lo que ocurre en la nave (nuestra infraestructura IT), lo procesa y es capaz de proporcionar la informaci\u00f3n y alertas necesarias cuando ocurre un evento de seguridad o la tripulaci\u00f3n precisa informaci\u00f3n.
\nSin embargo, es esa tripulaci\u00f3n la que le dice lo que tiene que hacer<\/strong>, ese cerebro no act\u00faa solo (excepto en los episodios t\u00edpicos en los que la computadora adquiere vida propia).<\/p>\nFunciones clave: logs y correlaci\u00f3n, cumplimiento<\/h3>\n
\n
Limitaciones frente a amenazas modernas<\/h3>\n
\nEstos ser\u00edan:<\/p>\n\n
Rol actual: por qu\u00e9 no desaparece ante XDR<\/h3>\n
\n
SOAR: automatizaci\u00f3n y orquestaci\u00f3n de la respuesta<\/h2>\n
\nEs decir, que despliega autom\u00e1ticamente los primeros drones en la batalla para mitigar<\/a>, allanando el camino a los refuerzos humanos si fueran necesarios en un incidente complejo.
\nPor ejemplo, ante una amenaza malware<\/a>, activada mediante un clic en un email que llega a un port\u00e1til de la empresa, SOAR puede cerrar conexiones, bloquear la IP objetivo del enlace, el equipo y\/o la cuenta de usuario, seg\u00fan la respuesta que se haya definido en su playbook<\/strong> para estos casos.
\nEl objetivo de SOAR es reducir tiempos<\/strong> de respuesta (lanzando esas defensas autom\u00e1ticas ante la detecci\u00f3n de algo extra\u00f1o) y la carga operativa del equipo humano<\/strong> del SOC.
\nAqu\u00ed la analog\u00eda ser\u00eda J.A.R.V.I.S. de Iron Man, o R2-D2 en un X-Wing de Star Wars, que ayudan en el combate apuntando, seleccionando objetivos y ejecutando acciones, como desplegar armaduras o realizar maniobras evasivas a la velocidad de un cerebro de silicio.<\/p>\nQu\u00e9 aporta frente al SIEM<\/h3>\n
\nEl SOAR no reemplaza al SIEM, act\u00faa sobre sus alertas<\/strong> (y las de otras posibles fuentes) para actuar.<\/p>\nFunciones clave: playbooks y respuesta inmediata<\/h3>\n
\n
\nAhora veamos c\u00f3mo encajan los XDR en el puzzle de una seguridad inexpugnable.<\/p>\nXDR: Detecci\u00f3n y respuesta extendidas<\/h2>\n
\nEl EDR (Endpoint Detection and Response), como su nombre indica, se centra en la monitorizaci\u00f3n<\/a> y respuesta en endpoints<\/a> (ordenadores y servidores). Pero XDR no se queda ah\u00ed, es una plataforma unificada que extiende las capacidades de detecci\u00f3n y respuesta m\u00e1s all\u00e1 del endpoint para integrar datos de red, correo, nube, identidades y cargas de trabajo cloud (IaaS\/PaaS).
\nAs\u00ed, ofrece:<\/p>\n\n
\nAqu\u00ed, como dec\u00eda al principio, se empiezan a diluir las fronteras entre las prestaciones de unas y otras herramientas<\/Strong> (una evoluci\u00f3n l\u00f3gica e inevitable), ya que el XDR tiene algo de SIEM y SOAR<\/strong>.
\n\u00bfQu\u00e9 es lo que ocurre? Que para muchas organizaciones, ese \u00abalgo\u00bb no es suficiente, especialmente en infraestructuras complejas o que tengan que cumplir legislaci\u00f3n espec\u00edfica.<\/p>\nXDR Abierto (Open XDR) vs XDR Nativo (Native XDR)<\/h3>\n
\n
El papel del XDR en un SOC moderno<\/h3>\n
\n
Ejemplos de RPA aplicados a la gesti\u00f3n IT<\/h2>\n
SIEM vs SOAR: recolecci\u00f3n frente a orquestaci\u00f3n<\/h3>\n