کلمات در دقیقه
12
Bavoo0
00:00
سرعت
La detección de amenazas empieza por los registros. Sin registros centralizados no hay visibilidad, y sin visibilidad no hay respuesta. Un SIEM recoge eventos de cortafuegos, servidores, estaciones de trabajo y servicios en la nube, los normaliza y los correlaciona para generar alertas. El analista recibe la alerta, la clasifica y decide si es un falso positivo o un incidente real. Ese proceso se llama triaje.
Un indicador de compromiso puede ser una dirección IP, un hash de fichero, un dominio o una clave de registro. Los indicadores son útiles, pero caducan rápido, porque el atacante los cambia con facilidad. Por eso conviene detectar también comportamientos: procesos hijos inesperados, ejecución de comandos codificados, movimientos laterales o exfiltración de datos fuera del horario habitual.
La cadena de ataque suele seguir un patrón. Acceso inicial, ejecución, persistencia, escalada de privilegios, evasión de defensas, acceso a credenciales, descubrimiento, movimiento lateral, recolección, mando y control, y por último impacto. Conocer esas fases permite saber qué buscar en cada momento y qué registros conservar.