Puntos de captura y mapa de cobertura

Un mismo evento puede captarse en varios puntos: en la red, en la aplicación, en la base de datos o en el servicio que decide el acceso. No todos ven lo mismo. El tráfico cifrado entre dos servicios, por ejemplo, solo enseña a la red que dos máquinas hablaron, no qué se pidió ni quién lo pidió.

La regla práctica: captura en el punto que toma la decisión que quieres vigilar, porque ahí están el actor, la acción y el resultado juntos. Los puntos intermedios sirven para confirmar y para cuando el principal falla, no para sustituirlo.

Abre la tabla componentes. La última columna dice adónde va el registro. Cuando el valor es «local», el componente sí registra, pero la lectura de ese registro exige entrar al servidor, y el SIEM jamás lo ve. Para la detección es casi lo mismo que no registrar, con la diferencia de que parece que sí.

Entre los componentes de la capa de aplicación, hay uno cuyo registro se queda en su propio servidor.

Las amenazas más caras terminan en los datos. Por eso la capa de datos es donde más duele un hueco: un componente que guarda documentos o registros de clientes y no deja constancia de quién los lee no permite saber, tras un incidente, qué se llevaron.

Mira los dos componentes de la capa de datos. Uno registra de forma parcial, y eso es un hueco a medias. El otro es el hueco entero.

Algunos componentes no son de la empresa. No puedes instalarles un agente ni leer su disco, pero sigues siendo responsable de poder detectar lo que pase en ellos. Se resuelve en el contrato y en el diseño: se exige que el proveedor entregue los eventos por una vía acordada y se escribe qué eventos y con qué retraso máximo.

El marco NIST CSF 2.0 lo recoge en el monitoreo de las actividades de los proveedores de servicios externos (DE.CM-06). En la tabla terceros se ve cuál de los componentes no tiene ni contrato ni vía de entrega.

Para decidir dónde invertir primero hace falta una cifra de cobertura. Una medida simple es el porcentaje de componentes del inventario cuyo registro llega al SIEM. No dice si lo que llega sirve, pero dice qué parte de la arquitectura es invisible por completo.

Cuenta los componentes que envían su registro al SIEM y divide entre el total de componentes del inventario.