SIEM (Security Information and Event Management)

Un SIEM (Security Information and Event Management) recopila y normaliza registros de múltiples fuentes para buscar patrones, correlacionar eventos y apoyar la investigación de seguridad. Puede generar alertas y conservar evidencia, pero no detecta automáticamente todo ataque: depende de las fuentes conectadas, calidad del dato, reglas, contexto y revisión humana. Antes de implantarlo conviene definir casos de uso prioritarios, activos, identidad, sincronización horaria, retención, privacidad y responsables de respuesta. Un volumen alto de eventos no equivale a cobertura, y una consola sin alertas puede indicar una fuente desconectada. Las reglas necesitan afinado, pruebas controladas y seguimiento de falsos positivos. Para medir eficacia deben verificarse la llegada del evento, la creación de contexto, el escalado y la acción realizada, no solo la ingestión de gigabytes.