El SIEM se usa para ofrecer correlación entre información y amenazas detectadas. Una vez detectada la amenaza, se eleva una alerta. Esta permite a los analistas tomar acciones acordes a la investigación. El SIEM juega un rol importante en el dominio de la ciberseguridad, ayudando a protegerse contra las últimas amenazas en cuestión de poco tiempo. Proporciona buena visibilidad de lo que pasa en la infraestructura de red.
Capabilidades SIEM
El SIEM es uno de los mayores componentes de los entornos SOC. El SIEM empieza recolectando logs y examinándolos si algún evento o flujo tiene una condición coincidente configurada en las reglas.
Algunas capabilidades del SIEM son:
- Correlación entre eventos de diferentes fuentes.
- Ofrecer visibilidad en las actividades host-centric y network-centric.
- Permite a los analistas investigar las últimas amenazas.
- Cazar amenazas que no hayan sido detectadas por las reglas.
Responsabilidades de un Analista SOC
Los analistas SOC utilizan SIEMs para tener mejor visibilidad de lo que está pasando en la red. Algunas de sus responsabilidades incluyen:
- Monitorizar e investigar.
- Identificar los falsos positivos.
- Modificar reglas que están causando falsos positivos.
- Reportes y legalidad vigente.
- Identificar puntos ciegos en la red y cubrirlos.