31.SIEM

Un SIEM (Security Information and Event Management, gestión de información y eventos de seguridad) es una plataforma que junta las bitácoras de todos los equipos y sistemas, las ordena y las cruza entre sí para encontrar patrones de ataque que, vistos por separado, pasarían desapercibidos.

Es como un detective que reúne las grabaciones de todas las cámaras de un edificio: en una se ve a alguien en la entrada, en otra en el elevador y en otra en la oficina de la dirección. Solo al verlas juntas se entiende lo que pasó.

En términos técnicos

• Opciones libres: Wazuh (SIEM y HIDS), Security Onion, Elastic (con funciones libres).
• Opciones comerciales: Splunk, Microsoft Sentinel, IBM QRadar, Google SecOps, entre otras.
• SOAR automatiza respuestas: «si se confirma esta alerta, deshabilita la cuenta y abre un ticket».

¿Dónde lo vas a encontrar?

En los centros de operaciones de seguridad (SOC) de empresas, gobiernos y universidades, en los servicios de monitoreo gestionado y en los laboratorios de formación en ciberseguridad defensiva.

Un caso verosímil

En una universidad, cada sistema tiene su propia bitácora: el correo ve un inicio de sesión exitoso, la VPN ve una conexión desde otro país y el servidor de archivos ve una descarga grande. Ninguno, por separado, parece alarmante. El SIEM los une —misma cuenta, misma hora, ubicación imposible para el usuario— y genera una alerta crítica.

Qué se perdió

• Muy poco: el equipo de seguridad bloqueó la cuenta en minutos y descubrió que la contraseña se había robado con phishing.

Qué se habría perdido sin él

Sin correlación, cada sistema habría visto «actividad normal» y el robo de información habría seguido días.

Casos de uso para empezar

Cómo empezar en un laboratorio

1. Levanta Wazuh (tiene imágenes de Docker y una máquina virtual lista).
2. Instala el agente en una máquina Windows y otra Linux del laboratorio.
3. Genera eventos de prueba: inicios de sesión fallidos, creación de un usuario, cambios en archivos vigilados.
4. Observa cómo aparecen y se agrupan las alertas en el panel.
5. Ajusta una regla para que avise de algo propio de tu laboratorio.

Por nivel

MITRE ATT&CK: muchas reglas de SIEM se etiquetan con la técnica de ATT&CK que detectan; eso permite medir qué parte del marco cubre la organización.

• Costo: los SIEM comerciales suelen cobrar por volumen de datos; enviar todo sin filtrar sale caro.
• Espacio y retención: calcula cuánto espacio necesitas para guardar el tiempo requerido.
• Hora sincronizada en todas las fuentes, o la correlación falla.
• Protege el SIEM: contiene información de toda la organización y es un blanco valioso.
• Revisa las reglas periódicamente: los sistemas cambian y las reglas viejas generan ruido.

• Wazuh. Wazuh documentation. https://documentation.wazuh.com/
• NIST. SP 800-92 — Guide to Computer Security Log Management (2006). https://csrc.nist.gov/pubs/sp/800/92/final
• CISA y otras agencias. Guidance for SIEM and SOAR Implementation (2025).
• MITRE ATT&CK. https://attack.mitre.org/