Un SIEM (Security Information and Event Management) es una plataforma que recoge los registros (logs) de muchos sistemas, los normaliza y los correlaciona para detectar actividad sospechosa, investigar incidentes y conservar evidencias. No protege por sí mismo: solo es útil si recibe datos de calidad y alguien actúa sobre sus alertas.
Cómo funciona
Un SIEM recibe eventos de fuentes como servidores, equipos, firewalls, sistemas de identidad (por ejemplo, Active Directory o Entra ID), correo, aplicaciones y servicios en la nube. Los convierte a un formato común, los ordena en el tiempo y aplica reglas de correlación: por ejemplo, muchos intentos fallidos de acceso seguidos de uno correcto desde otro país.
Cuando una regla se cumple, genera una alerta para que una persona la revise. Además, permite buscar en el histórico durante una investigación y conservar los registros durante el plazo definido. Su valor depende de qué fuentes se conectan, de que los relojes estén sincronizados y de que las reglas se ajusten para limitar los falsos positivos. Como los registros contienen datos de personas (usuarios, direcciones IP), hay que definir también quién accede a ellos y cuánto tiempo se conservan.
Ejemplo
Ejemplo ilustrativo, no un caso real. Una empresa conecta al SIEM su directorio de usuarios, el firewall y los portátiles. Una noche, la cuenta de una persona del departamento de finanzas inicia sesión desde otro país y, minutos después, se descarga un volumen inusual de archivos.
Ninguno de los eventos por separado es alarmante, pero la regla de correlación los une y crea una alerta. La persona responsable la revisa, bloquea la cuenta, restablece las credenciales y usa el histórico para ver qué se consultó. Sin los registros centralizados, esa reconstrucción habría exigido revisar cada sistema por separado.
Límites
Un panel sin alertas puede significar que no ha pasado nada, que una regla no es adecuada o que una fuente ha dejado de enviar datos: hay que vigilar la salud de las fuentes. Muchos eventos no equivalen a cobertura. Y un SIEM necesita personas y procedimiento: quién revisa, con qué prioridad y cuándo se escala.
No sustituye al EDR, a las copias de seguridad, a los parches ni a los accesos mínimos. Según el tamaño de la organización, puede convenir empezar por centralizar bien los registros más importantes y definir qué casos de uso importan antes de comprar una plataforma.
Cuándo llamar a un experto
Conviene pedir ayuda cuando una norma, un cliente o una auditoría exigen conservar y revisar registros, cuando ha habido un incidente que no se pudo investigar por falta de logs o cuando ya existe un SIEM y nadie revisa ni ajusta sus alertas.
Antes de elegir una herramienta, un diagnóstico debería responder qué fuentes importan, qué casos de uso son prioritarios, quién responde a las alertas y cuánto tiempo se guardan los datos. En Impulso Tecnológico trabajamos en diagnóstico, controles técnicos y formación: consulta nuestro servicio de ciberseguridad o cuéntanos tu caso.
Para saber más
Términos relacionados del glosario: SOC, EDR, MDR, XDR y IDS e IPS.
Fuentes oficiales (en inglés): la guía NIST SP 800-92 sobre gestión de registros de seguridad y la guía del NCSC Building a Security Operations Centre.