Exportar telemetría al SIEM

5 tareas · 38 min · Principiante

El EDR guarda su telemetría en su propia consola, pero las reglas de correlación, las búsquedas entre fuentes y la retención larga viven en el SIEM. Entre uno y otro hay un conector de exportación que decide qué pasa, con qué filtro y con qué nombres de campo. Lo que el conector no envía, el SIEM no lo ve; lo que traduce mal, no se cruza. En Textiles Cumbrebrava lees cuánto envía el conector de cada categoría y cómo traduce los campos.

0 de 5 · 0%

Objetivo de la sala

Exportar todo cuesta: el SIEM suele cobrarse o dimensionarse por volumen ingerido, y las categorías más ruidosas pueden ser la mayor parte. Por eso muchos conectores envían una parte: solo lo externo, solo las claves importantes, o nada de ciertas categorías.

Cada filtro es una decisión de detección: lo que se quita ya no puede usarse en una regla del SIEM, aunque siga en la consola del EDR.

Responde para continuar

¿Qué consecuencia tiene para el equipo de detección que el conector filtre una categoría?

Las reglas del SIEM que usan esa categoría pierden sus datos, aunque la consola del EDR los conserve Solo afecta al costo de almacenamiento del SIEM, mientras las reglas siguen alertando con normalidad Ninguna, porque el SIEM reconstruye los eventos que faltan a partir de los que sí recibe del agente aparte

Abre exportacion_al_siem. Compara los eventos por día en la consola con los que llegan al SIEM. Hay una categoría de evento, la más voluminosa de las seis, de la que el conector no envía nada: ninguna regla del SIEM puede apoyarse en ella.

Responde para continuar

Escribe el nombre de la categoría de la que el conector no envía ningún evento al SIEM.

Ver pista de ayuda

Busca un cero en `eventos_dia_en_siem`.

El conector de conexiones de red filtra: solo envía las que van hacia fuera de la red interna. La proporción de lo que llega al SIEM dice cuánta visibilidad se conserva y cuánta se perdió. Calcula el porcentaje de los eventos diarios de esa categoría que llegan al SIEM.

Responde para continuar

Escribe el porcentaje de las conexiones de red de la consola que llegan al SIEM.

Ver pista de ayuda

Divide `eventos_dia_en_siem` entre `eventos_dia_en_consola` en la fila de conexion_de_red y multiplica por 100.

El conector traduce los campos del agente a los del SIEM, que usa un esquema común. Cuando un campo no tiene equivalente, el dato se envía sin nombre reconocible o se descarta, y ninguna regla puede filtrar por él. En mapa_de_campos hay un campo del agente que quedó sin traducción.

Responde para continuar

Escribe el nombre del campo del agente que no tiene equivalente en el SIEM.

Ver pista de ayuda

Busca `sin equivalente` en `campo_en_el_siem`.

Una compañera quiere una regla en el SIEM que alerte cuando muchos documentos se modifiquen en pocos minutos, algo que depende de la categoría que el conector no envía. Tienes el costo del volumen y la opción de dejarla en la consola.

Responde para continuar

¿Qué propuesta es más razonable?

Exportar solo las carpetas sensibles y medir el costo, o dejar esa regla en la consola del EDR Exportar esa categoría completa sin filtro, porque el costo del volumen es secundario frente a la regla Escribir la regla en el SIEM tal cual; se activará cuando lleguen los eventos que le faltan

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Por qué se filtra al exportar Lab

2 La categoría que no llega Lab

3 Qué parte de las conexiones llega Lab

4 El campo que se pierde en la traducción Lab

5 Una regla que necesita lo que no se exporta Lab

Whoami-Labs Pro utiliza cookies