Qué es un SIEM: para qué sirve y qué aporta a los registros de tu cortafuegos

Tu cortafuegos anota cada conexión que deja pasar o bloquea. También lo hacen los servidores, los antivirus y muchos otros equipos. El problema es que nadie lee eso, y que cada equipo solo ve su parte. Un SIEM (Security Information and Event Management) existe para resolverlo.

Qué hace

La guía SP 800-92 del NIST, publicada en 2006 y todavía la referencia sobre gestión de registros, lo define como un software de registro centralizado. Lo que hace un SIEM, según esa guía, se puede resumir en cinco pasos:

1. Recoge los registros de distintos equipos.
2. Normaliza: entiende los formatos y sabe, por ejemplo, qué campo de cada registro es la dirección de origen.
3. Filtra y agrupa, y descarta lo que no importa para la seguridad.
4. Correlaciona los eventos de todas las fuentes, identifica los importantes y los prioriza.
5. Responde, si se configura para ello, y ayuda al analista con paneles y una base de conocimiento.

El paso clave es el cuarto, y un ejemplo inventado ayuda a entenderlo. Varios intentos fallidos de entrar en la VPN, según el cortafuegos, seguidos de un acceso correcto y de una conexión a un servidor de archivos a una hora rara. Cada hecho, visto por separado, no llama la atención. Juntos, sí.

Cómo recoge los registros

Un cortafuegos físico es el caso típico de la primera fila: no se le instala nada, sino que se le configura el envío de registros, normalmente por syslog, a la dirección del servidor.

Qué aporta el cortafuegos

El NIST incluye los cortafuegos entre las fuentes de registros, y señala que suelen dar registros más complejos que otros equipos de red. Eso sí, solo sirven si se piensa antes qué guardar. Esta lista es criterio de esta web:

• Conexiones denegadas y permitidas, sobre todo las que salen de zonas sensibles, como una DMZ.
• Alertas del IPS y del filtrado web, si los tienes.
• Accesos por VPN, correctos y fallidos.
• Cambios de configuración y accesos de administrador. Son de los más valiosos, porque un atacante que entra en el cortafuegos intentará tocarlos.
• Traducciones de NAT, si quieres poder relacionar una conexión con el equipo interno que la hizo.

Guardar todo tiene un coste en disco y, en muchos productos, en licencia. Empieza por lo que vayas a mirar.

Cuándo lo pide la normativa

El Esquema Nacional de Seguridad no menciona la palabra SIEM en la medida sobre el registro de actividad, op.exp.8, pero describe sus funciones según el nivel de trazabilidad:

Por tanto, en nivel alto hace falta en la práctica algo que funcione como un SIEM. Si te afecta NIS2, comprueba qué exige tu caso: esta guía no entra a interpretarlo.

Lo que no resuelve

Comprar un SIEM no es tener seguridad. Esto es criterio de esta web, y lo es también lo que sigue:

• Alguien tiene que mirar. Una alerta a la que nadie atiende no sirve de nada. Es el motivo por el que muchas empresas lo contratan como servicio.
• Hay que ajustarlo. Sin reglas adaptadas a tu red, lo normal es recibir un exceso de avisos y acabar ignorándolos.
• No bloquea por sí solo, salvo que se conecte para ello. Si una regla responde sola y se equivoca, puede cortar un servicio legítimo.
• Depende de la hora. Si cada equipo tiene un reloj distinto, relacionar eventos se complica. Por eso el ENS incluye la sincronización.

Si no necesitas un SIEM

Para una pyme sin obligación expresa, suele ser excesivo. Lo que sí conviene tener, por este orden, según el criterio de esta web:

1. Sincroniza la hora del cortafuegos y los servidores.
2. Saca los registros del cortafuegos a otro equipo. Si guarda solo en su memoria, se pierden pronto, y un atacante con acceso puede borrarlos. Muchos equipos pequeños no tienen disco, así que un servidor de syslog o el servicio en la nube del fabricante cubre esa parte.
3. Decide cuánto tiempo guardas, y que sea suficiente para investigar algo que se descubra semanas después.
4. Activa los avisos básicos del propio cortafuegos: cambios de configuración, accesos de administrador y alertas graves.
5. Revísalos con una frecuencia fija, aunque sea breve.

Con eso, si ocurre un incidente tendrás qué mirar, que es lo que suele faltar. Y si creces, ya tendrás el primer paso de un SIEM hecho, porque los registros estarán centralizados.