Qué indicadores entran al SIEM y cuáles no

La plataforma de inteligencia guarda todo lo que se sabe de una campaña: indicadores, contexto, relaciones, confianza, historia. El SIEM es otra cosa: compara cada evento que llega con unas listas y abre una alerta cuando hay coincidencia. Lo que se carga en esas listas tiene un costo diario —consultas, alertas, horas del turno— y solo devuelve algo si puede coincidir con un evento real de la casa.

Por eso la pregunta no es «¿este indicador es malicioso?», sino «¿este indicador puede coincidir con algo que registramos, todavía vale y su coincidencia diría algo?». Un indicador que no cumple eso no se tira: se queda en la plataforma, con su motivo.

Abre la consola y ejecuta SELECT * FROM paquete y SELECT * FROM fuentes_de_registro. Un indicador se compara con un campo de los eventos: una dirección con ip_destino, un dominio con dominio o consulta, un remitente con remitente. Si ninguna fuente que llega al SIEM trae ese campo, el indicador puede pasar años en la lista sin coincidir jamás, y la lista dirá que la casa está cubierta cuando no lo está.

La columna llega_al_siem importa tanto como la de los campos: una fuente puede registrar el dato y guardárselo.

Ejecuta SELECT * FROM criterios, SELECT * FROM vigencias y SELECT * FROM infra_compartida. La vigencia se cuenta desde el último avistamiento, no desde que el indicador llegó: un indicador recibido hoy puede llevar semanas sin que nadie lo vea en uso. Una dirección se reasigna rápido; por eso su plazo es el más corto de la tabla.

Hay un indicador del paquete con confianza alta, con campo en el SIEM y fuera de la infraestructura compartida que, aun así, no debe entrar.

Recorre los nueve indicadores con los cuatro criterios. Además de los dos que ya descartaste, hay uno que coincidiría con una dirección que usan miles de organizaciones y otro cuya fuente no lo respalda lo bastante. Lo que queda es lo que el SOC carga esta tarde.

Los indicadores que no entran al SIEM siguen siendo información de la campaña. La huella del archivo sirve si mañana el antivirus envía sus registros, o para buscarla a mano en su consola; la dirección vencida explica cómo operó el adversario en agosto; la de confianza baja puede subir si otra fuente la confirma. Borrarlos pierde ese contexto; cargarlos al SIEM lo convierte en ruido.