Qué añade la detección en red a un SIEM

Un SIEM depende de que cada fuente le mande sus registros: un agente en la estación, el servidor que reenvía su bitácora, el cortafuegos que exporta sus eventos. Lo que no envía, no existe para él. La detección en red parte de otra fuente: el tráfico. Un sensor ve quién habló con quién, por qué puerto, a qué hora y cuántos datos movió, sin importar si el equipo guarda o no un registro de ello.

Por eso las dos cosas se complementan. El SIEM aporta el contexto de cada equipo (quién inició sesión, qué proceso corrió); el sensor aporta lo que pasa entre equipos y lo que dicen los dispositivos que no pueden llevar agente.

El inventario de Quipile marca cuáles equipos llevan agente y cuáles envían registros al SIEM. Los que no llevan ninguno son los candidatos naturales a que nadie los vigile: impresoras, cámaras, lectores y básculas suelen traer un sistema cerrado donde no se puede instalar nada.

Cuenta cuántos activos del inventario no envían registros al SIEM.

El sensor registra, por cada conexión, cuántos kilobytes salieron. Cruzado con el inventario, convierte una dirección en un equipo con una función. Un dispositivo sin agente que envía mucho a internet merece una pregunta, porque el SIEM no tiene nada que decir sobre él.

Mira las conexiones del sensor hacia direcciones externas y quédate con el origen que más datos envió, ya traducido a equipo.

Un flujo se describe con pocos campos: origen, destino, puerto, hora y volumen. Con eso ya se puede preguntar si el destino es conocido, si el puerto es el habitual para ese dispositivo y si el volumen tiene sentido. No hace falta ver el contenido para sospechar de un comportamiento.

El tráfico cifrado deja a la vista sus metadatos (direcciones, puertos, horas y volúmenes) pero no su contenido. Un sensor puede decir que una cámara subió 18 megabytes a un destino nuevo; no puede decir qué había en ellos. Además, un sensor solo ve el tramo de red por el que pasa el tráfico: lo que corre por otro segmento le es invisible.

Por eso la detección en red no sustituye al SIEM ni a los registros de los equipos: se suma a ellos.