Mantener un entorno digital seguro es una tarea compleja. Para ayudar a los equipos de TI en esa tarea, los programas de security information and event management (SIEM) permiten analizar grandes volúmenes de datos y hacerlos comprensibles a escala humana. Gracias a esas funcionalidades, un SIEM alerta a los responsables de seguridad cuando detecta un comportamiento sospechoso o potencialmente peligroso, ofreciendo así una visibilidad global sobre el nivel de seguridad de su ecosistema digital.
¿Qué es un SIEM?
Una solución SIEM permite a los equipos de TI vigilar todas las actividades realizadas en su entorno, en tiempo real o durante un periodo determinado. Eso puede incluir registros de seguridad procedentes de servidores, terminales móviles, controladores de dominio, etc., que después se almacenan para realizar análisis cruzados. En suma, permite identificar tendencias, detectar amenazas y analizar posibles fallos de seguridad.
¿Por qué las empresas utilizan soluciones SIEM?
Estrechamente ligadas al crecimiento de la movilidad en la empresa, las ciberamenazas dirigidas a las organizaciones nunca han sido tan numerosas. En los últimos años, los gobiernos y las autoridades han adoptado leyes que exigen a las empresas que protejan los datos manipulados en su seno y que controlen todas las acciones efectuadas sobre ellos.
Es el caso, por ejemplo, del artículo 30 del RGPD, «Registro de las actividades de tratamiento», que exige registrar el tratamiento de los datos pertenecientes a los ciudadanos europeos. El objetivo es, en el mejor de los casos, prevenir una fuga de datos y, en el peor, saber gestionarla eficazmente, apoyándose en ambos casos en un sistema de alerta y de análisis preciso, como un SIEM.
¿Cómo funciona un SIEM?
En un SIEM, todas las alertas se clasifican por nivel de prioridad (baja o alta) mediante una política de seguridad personalizable. Cuando el sistema identifica un evento de seguridad que podría afectar a la organización, emite inmediatamente la alerta y le asigna una prioridad. En función de la naturaleza de la alerta y del informe facilitado, los responsables de seguridad pueden adoptar contramedidas adecuadas.
Por ejemplo, si un usuario intenta conectarse a la intranet de su empresa pero introduce 5 veces la contraseña incorrecta en 5 minutos, se clasificará como una alerta de nivel bajo, porque probablemente se trate de un olvido. Sin embargo, si se registran 100 intentos de conexión en 5 minutos, es probable que sea un ataque que intenta piratear las credenciales de la persona afectada. Por consiguiente, se notificará como una alerta de nivel superior.
Pradeo Security enriquece los SIEM con datos móviles
Para aportar resultados precisos, un SIEM debe estar conectado al entorno digital en el que opera, incluido el ecosistema móvil, donde se producen millones de eventos de seguridad cada día. En efecto, supervisar la movilidad se ha convertido en un elemento esencial para proteger los datos de las empresas, y los responsables de TI tienen ahora el reto de encontrar soluciones que recopilen los eventos ligados a la movilidad y puedan conectarse directamente a su SIEM.
Al operar en el corazón de los terminales móviles, las soluciones de Pradeo ofrecen a los equipos de TI la oportunidad de recopilar eventos de seguridad desde su entorno móvil. Tanto si la necesidad afecta a la seguridad de una flota (agente de protección de flotas móviles en el terminal) como al análisis de las amenazas que rodean a las aplicaciones (SDK de protección integrado en las aplicaciones), Pradeo Security ofrece la posibilidad de enriquecer los SIEM con eventos de seguridad móvil precisos, además de cumplir su función de protección.
Para facilitar la integración con los ecosistemas existentes, Pradeo ha desarrollado conectores para enriquecer Splunk, IBM QRadar, syslog y ArcSight, y trabaja actualmente en alianzas con otros proveedores de soluciones SIEM.
