# SIEM

> El sistema que junta los logs de seguridad de todos lados y da la alarma.

- Nivel: Avanzado
- Temas: Seguridad
- URL: https://tidbit.legios.com.ar/es/siem/
- En inglés: [SIEM](https://tidbit.legios.com.ar/siem/)

Un **SIEM** (gestión de información y eventos de seguridad, por su sigla en inglés) es un software que recolecta logs y eventos de toda una organización, los guarda en un solo lugar y busca señales de un ataque. Los servidores, las laptops, el firewall, la VPN, las cuentas en la nube, el mail y los sistemas de identidad registran lo que pasa: quién inició sesión, desde dónde, qué archivo se abrió, qué conexión se bloqueó. Cada registro solo dice poco. Juntos, pueden contar una historia.

Primero el SIEM **normaliza** los datos, para que un login se vea igual venga de Windows, de un servidor Linux o de un servicio en la nube. Después **correlaciona**: aplica reglas de detección que combinan eventos de distintas fuentes y momentos. "Cincuenta logins fallidos seguidos de uno exitoso desde un país nuevo" o "una cuenta de administrador creada a las 3 de la mañana y usada para exportar una base de datos" son reglas típicas. Cuando una se cumple, genera una **alerta** para un analista, normalmente en un centro de operaciones de seguridad.

También es la memoria de la organización. En una investigación, los analistas buscan en meses de logs para reconstruir qué hizo un atacante, y los auditores piden pruebas de que los accesos se monitorean, por eso muchas regulaciones empujan a las empresas a tener uno. Lo difícil es el ajuste: un SIEM con demasiadas reglas ruidosas entierra los ataques reales bajo miles de falsas alarmas, y uno con muy pocas los deja pasar. Los productos modernos suman análisis de comportamiento, fuentes de inteligencia de amenazas y respuestas automáticas, y muchos ya funcionan como servicio en la nube.

## Una analogía

La sala de control de seguridad de un edificio, adonde llegan todas las cámaras, sensores de puertas y lectores de tarjetas. Un guardia mirando muchas pantallas, con un software que hace sonar un timbre cuando la misma tarjeta abre puertas en dos pisos distintos a la vez.

## Para quedarse

- Recolecta y centraliza logs de servidores, dispositivos, equipos de red y servicios en la nube.
- Las reglas de correlación combinan eventos para detectar ataques que ningún log muestra solo.
- Guarda historia para investigaciones y auditorías de cumplimiento.
- Sin un buen ajuste, ahoga a los analistas en falsas alarmas.

## Para seguir leyendo

- [Gestión de información y eventos de seguridad en Wikipedia](https://es.wikipedia.org/wiki/Gesti%C3%B3n_de_informaci%C3%B3n_y_eventos_de_seguridad)
- [¿Qué es SIEM? (IBM)](https://www.ibm.com/es-es/think/topics/siem)

## Términos relacionados

- [Servidor](https://tidbit.legios.com.ar/es/server/): Una computadora cuyo trabajo es responder pedidos de otras computadoras, todo el día.
- [Firewall](https://tidbit.legios.com.ar/es/firewall/): Un portero que decide qué tráfico de red entra o sale.
- [VPN](https://tidbit.legios.com.ar/es/vpn/): Un túnel cifrado que manda todo tu tráfico a través de otra red primero.
- [Computación en la nube](https://tidbit.legios.com.ar/es/cloud-computing/): Alquilar computadoras por internet en vez de comprar las tuyas.
- [Linux](https://tidbit.legios.com.ar/es/linux/): Un sistema operativo libre y de código abierto que mueve la mayoría de los servidores.
- [Base de datos](https://tidbit.legios.com.ar/es/database/): Un depósito ordenado de datos que los programas consultan y actualizan sin riesgo.
- [Centro de operaciones de seguridad](https://tidbit.legios.com.ar/es/security-operations-center/): El equipo que vigila los sistemas de una organización día y noche contra ataques.