Registro y telemetría central en un entorno mixto

Cada proveedor de nube genera registros con esquemas, campos y formatos propietarios (CloudTrail, Activity Logs, VPC Flow Logs, Syslog). Para que los analistas del SOC y los motores de detección puedan construir reglas analíticas coherentes, es necesario transformar e ingerir estos datos bajo vocabularios comunes como el Open Cybersecurity Schema Framework (OCSF) en un repositorio analítico o SIEM centralizado.

El inventario de ingesta documenta la transformación aplicada a las fuentes nativas de nube antes de su entrega al motor de análisis.

Abre el laboratorio y lee ingesta-siem.txt. Consulta qué formato de evento se utiliza para la normalización de AWS CloudTrail y Azure Activity Logs.

No recopilar registros de flujo en las redes virtuales deja a la organización a ciegas ante actividades de movimiento lateral dentro del clúster de analítica.

Examina huecos-visibilidad.txt y localiza qué registro específico falta en la red Azure VNet-BI.

El análisis de flujo de red (Flow Logs) proporciona metadatos irremplazables sobre direcciones IP, puertos y bytes transferidos, siendo fundamental para detectar balizas de mando y control (C2) y exfiltración de grandes volúmenes.