Fuentes de eventos de red y su valor

El cortafuegos registra qué conexión se permitió o se denegó y por qué regla, pero no sabe quién era el usuario. El proxy sabe el usuario y la página, pero solo ve lo que pasa por él. El resolutor DNS sabe qué nombre pidió cada equipo, incluso cuando la conexión posterior nunca llega a verse. La VPN sabe quién se autenticó y qué dirección le asignó. Ninguna fuente basta sola: el valor está en cruzarlas.

Por eso decidir qué conectar primero no es un asunto de volumen. Es un asunto de qué preguntas necesita responder el analista.

El peor hueco de un SIEM es el silencioso: una fuente que dejó de enviar no genera alertas, simplemente deja de existir en las búsquedas. Para detectarlo se compara lo que se espera con lo que llegó, y se mira la columna de eventos por día: un cero sostenido es una señal.

Consulta el inventario de fuentes y filtra las que no envían.

El volumen importa por el costo y por la capacidad: muchos SIEM cobran o dimensionan por eventos al día. El cortafuegos suele ser el que más aporta y el que menos valor por evento tiene, porque la mayoría de las conexiones son rutina. Conocer el volumen total sirve para planear almacenamiento y para notar cuando una fuente cambia de comportamiento.

Suma los eventos diarios de las fuentes que sí envían al SIEM.

Un buen punto de partida para planear la recolección es una lista de preguntas del analista con la fuente que responde cada una. Si una pregunta frecuente no tiene fuente, el hueco está en la recolección, no en la consulta.

Revisa la tabla de preguntas.

Con poco presupuesto de almacenamiento no se conecta todo de golpe. Se parte de las preguntas que el equipo necesita contestar en un incidente: quién entró, qué salió, qué nombre se resolvió. Después se añaden las fuentes de volumen alto, con filtros que descarten el ruido antes de guardarlo.