Los sistemas SIEM recopilan grandes cantidades de registros procedentes de servidores, aplicaciones, equipos y dispositivos de red.
El desafío consiste en convertir esos registros en detecciones útiles que permitan identificar actividades sospechosas.
Sigma es un formato abierto que permite describir reglas de detección para eventos registrados por diferentes sistemas.
Su principal ventaja es que las reglas pueden mantenerse de manera relativamente independiente de una plataforma SIEM específica y posteriormente adaptarse mediante herramientas compatibles.
Por ejemplo, una regla puede describir determinadas condiciones relacionadas con intentos de autenticación sospechosos, ejecución de procesos o modificaciones inesperadas del sistema.
Esto facilita compartir conocimientos de detección entre diferentes organizaciones y equipos de seguridad.
Sin embargo, una regla Sigma no es necesariamente una detección lista para utilizar sin modificaciones. Es necesario adaptar los campos, fuentes de registros y características del entorno.
También se deben realizar pruebas para comprobar su precisión.
Una regla demasiado general puede producir numerosas alertas innecesarias, mientras que una demasiado específica podría dejar pasar actividades relevantes.
Mini guía práctica: comienza con reglas relacionadas con amenazas conocidas, adapta sus campos a tus fuentes de datos y mide cuántas alertas útiles genera cada detección.
Tip Winxgo: compartir reglas de detección permite aprovechar el conocimiento de la comunidad, pero cada organización necesita ajustarlas a su propia infraestructura.
¿Crees que los formatos abiertos como Sigma pueden mejorar la colaboración entre los equipos de ciberseguridad?
Leave a Reply