SIEM y gestión de logs
El SIEM es el cerebro del SOC: traga los logs de TODA la empresa, los normaliza, los correlaciona y dispara alertas. Aquí conoces los que vas a ver en el mercado (Wazuh, Splunk, ELK, Sentinel, QRadar), cuándo usar cada uno y montas uno de verdad.
📡Qué resuelve y por qué
Sin SIEM tienes los logs repartidos en 50 máquinas y nadie los mira. El SIEM: ingiere (recoge), normaliza (mismo formato), correlaciona (une eventos de distintas fuentes) y alerta. Una pantalla para cazar en vez de abrir servidor por servidor.
Regla de oro: el SIEM no detecta solo — detecta lo que TÚ le enseñas con reglas (use cases). Un SIEM sin reglas afinadas es un almacén caro de logs.
📊Quién es quién (open-source vs comercial)
| Wazuh | Open-source nº1. SIEM+XDR, agentes, FIM, detección de vulns. Gratis. El que montarás aquí. |
| Elastic Security (ELK) | Elasticsearch+Kibana+Logstash/Beats. Potentísimo para buscar/visualizar grandes volúmenes. |
| Graylog | Open-source, muy cómodo para gestión de logs y alertas sin la complejidad de ELK. |
| OSSIM (AlienVault) | SIEM open-source clásico: correlación + descubrimiento de activos + IDS integrado. |
| Splunk | Comercial líder. SPL, su lenguaje de búsqueda, es el estándar de facto. Caro pero potentísimo. |
| Microsoft Sentinel / IBM QRadar | SIEM cloud/empresa de gran escala. Lo verás en corporaciones. |
🔧Lab: monta Wazuh en 10 minutos (tu VM/servidor)
El quickstart oficial levanta Wazuh (manager + indexer + dashboard) con Docker:
¿Sin recursos para 3 contenedores? Empieza con Graylog (más ligero) o manda logs a un ELK pequeño. La IDEA es la misma; cambia el botón.
⚠Fallos típicos y solución
vm.max_map_count bajo. sudo sysctl -w vm.max_map_count=262144 y persístelo en /etc/sysctl.conf.ossec.conf sea la correcta.💡Trucos de SOC
- Empieza por los use cases que importan (login fuerza-bruta, powershell -enc, cuenta nueva admin, conexión a país raro) en vez de activar 2.000 reglas.
- Mide MTTD/MTTR (tiempo en detectar/responder): es lo que de verdad evalúa a un SOC.
- Normaliza horas a UTC en todas las fuentes o la correlación miente.
- Cada alerta debe tener un playbook (qué hacer) o no sirve.
🎯🎯 Lab puntuable: correla y caza al atacante
Lab pesado descargable (Docker Compose): te damos el stream de logs de una empresa (SSH + web + firewall + auditoría). Correlaciona las fuentes como en un SIEM: la misma IP que hizo fuerza bruta en SSH atacó la web, y un host se fue a un C2. La flag solo aparece al cruzarlo todo. 1 reto, 60 puntos.
⬇ Descargar el pack ▶ Ir al reto · categoría “Arsenal · SIEM”