Fuentes de nube y su valor

5 tareas · 36 min · Principiante

Un SIEM es tan útil como los registros que recibe, y recibirlos todos es caro e inútil a la vez. Ribera Norte Logística tiene cuentas en AWS y suscripciones en Azure, y su equipo de seguridad va a conectar el SIEM por primera vez. Antes de conectar nada, abres el catálogo de fuentes candidatas: qué registra cada una, cuántos gigabytes produce al día y cuánto sirve para detectar. Aprendes a pesar las dos cosas a la vez.

0 de 5 · 0%

Objetivo de la sala

Cada servicio de la nube puede escribir registros, y cada registro responde una pregunta distinta. Los de actividad de la cuenta (en AWS, CloudTrail de gestión; en Azure, el registro de actividad) dicen quién cambió qué. Los de identidad dicen quién inició sesión y desde dónde. Los de red (flujo de la VPC, consultas de DNS, accesos al balanceador) dicen quién habló con quién. Los de aplicación dicen lo que el programa quiso contar, incluida mucha charla que a nadie le sirve.

Llevar una fuente al SIEM tiene un costo que crece con los gigabytes. Por eso la pregunta que se hace antes de conectarla no es «¿se puede?», sino «¿qué detección o qué investigación no podría hacer sin ella?».

Responde para continuar

Para decidir si una fuente merece entrar al SIEM, ¿qué conviene comparar?

Si el proveedor de la nube la ofrece activada por defecto en cada cuenta nueva El valor que aporta para detectar e investigar frente al costo que añade Cuántas personas del equipo conocen el formato de la fuente

Ver pista de ayuda

Se pesa lo que aporta contra lo que cuesta, no lo que es fácil o lo que viene hecho.

Abre el catálogo de Ribera Norte. Ocho fuentes candidatas, con su volumen diario. Ordénalas de mayor a menor y mira cuál encabeza la lista.

Responde para continuar

¿Qué fuente produce más gigabytes al día?

Ver pista de ayuda

Ejecuta `SELECT fuente, gb_dia FROM catalogo_fuentes ORDER BY gb_dia DESC`.

La columna valor_para_deteccion es el juicio del equipo sobre cuánto sirve cada fuente para detectar actividad sospechosa. Filtra las de valor alto y suma sus volúmenes: es lo mínimo que el SIEM debería recibir sí o sí.

Responde para continuar

¿Cuántos gigabytes al día suman, en total, las fuentes de valor alto? Escribe solo el número.

Ver pista de ayuda

Ejecuta `SELECT * FROM catalogo_fuentes WHERE valor_para_deteccion = 'alto'` y suma la columna gb_dia.

Una pregunta frecuente de una investigación es si determinada persona inició sesión en la nube desde un lugar inesperado. Para contestarla hace falta la fuente que guarda los inicios de sesión, no la que guarda los cambios en la cuenta.

Responde para continuar

¿Qué fuente de Azure registra los inicios de sesión de usuarios?

Ver pista de ayuda

Ejecuta `SELECT * FROM catalogo_fuentes` y lee la columna que_registra.

Las fuentes de valor alto de Ribera Norte pesan poco en total, salvo una. Las de valor bajo, en cambio, pueden pesar mucho. Esa asimetría es la que ordena la conversación con quien paga la factura.

Responde para continuar

Una fuente de valor bajo produce más volumen que todas las de valor alto juntas. ¿Qué decisión inicial es razonable?

Conectarla igual, porque mañana podría hacer falta alguna vez y entonces ya no habría historial que consultar Dejarla fuera del SIEM y revisarlo si una detección la pide Conectar solo la mitad de sus eventos elegidos al azar, para que el costo se reparta

Ver pista de ayuda

Si una fuente no sostiene ninguna detección, el SIEM no es el lugar donde más conviene guardarla.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Un registro no vale por su tamaño

2 La fuente más voluminosa Lab

3 Cuánto pesan las que más sirven Lab

4 Una fuente por su contenido Lab

5 Qué hacer con lo barato de decidir

Whoami-Labs Pro utiliza cookies