SIEM (Security Information and Event Management, por sus siglas en inglés) es un sistema, aplicación o solución donde se concentra la información de seguridad de TI. Es un principio fundamental en la creación de un sistema de gestión de eventos de seguridad.
En 2003, Gartner fue el referente sobre la formalización de la tecnología SIEM, como se puede evidenciar en el primer cuadro de Gartner. En 2011, McGraw Hill publicó el primer libro sobre el SIEM, "Security Information Event Management (SIEM) Implementation”, escrito también por David R. Miller, Shon Harris, Allen A. Harper, Stephen VanDyke y Chris Blask.
Un libro que habla acerca de los que se consideraban, en su momento, los principales SIEM: OSSIM, Cisco MARS, Q1 y Arcsight. Sin embargo, algunos de estos nombres ya no circulan en la red, puesto que fueron absorbidos o transformados por otras organizaciones.
Hemos visto la llegada de los sistemas DR (Detection and Response), EDR, NDR, XDR ... Y así, múltiples tecnologías que han cambiado más de nombre que de tecnología como tal. El SIEM ha pasado por Next-Generation SIEM, Security Analytics y ahora es un servicio MDR.
En su proceso de formalización, el SIEM era considerado un gestor de logs, una herramienta de cumplimiento regulatorio para: la correlación de eventos, brindar una respuesta activa y seguridad en el endpoint.
La correlación es la base de la inteligencia, un SIEM Inteligente es aquel que tiene la capacidad de desarrollar mejores y distintas formas de correlaciones, que en definitiva, tendrá un mayor impacto en las organizaciones.
Si el SIEM es el corazón del SOC, la correlación es el cerebro del SIEM, y aquí es donde todos los fabricantes deberán apostar a crear mejores formas de correlacionar la información, ya que de la inteligencia que puedan generar, se dispara la capacidad de detección y atención a incidentes.
La automatización ahora es SOAR y el futuro de esto estará orientado en modelos ágiles tipo SecDevOps con recetas y playbooks. Cuantas más infraestructuras tengamos como código, la correlación disparará eventos que ejecuten playbooks, y estos a su vez producirán más eventos para mejores playbooks. Generando de este modo un ciclo de trabajo para una mejor reacción a diferentes incidentes de seguridad.
Ahora mismo el SOAR debe evolucionar para crear mejores playbooks o recetas adaptables y que el trabajo se vuelva más colaborativo y replicable. Veremos sistemas SOAR que se adapten más rápido y mejor a las diferentes tecnologías, tanto emergentes como las que se han establecido.
Ahora podemos ver que esta funcionalidad ha quedado relegada hacia el EDR, sistemas propios de recolección de información, Machine Learning y capacidades de detección sin reglas para la detección y reacción temprana de amenazas. El SIEM sigue teniendo un alto valor frente a los EDR, ya que debemos traer los datos de una herramienta a la otra para identificar, contener y asegurar la infraestructura con una visión mejorada de lo que está pasando en el endpoint. El sistema SIEM seguirá evolucionando para soportar mejor la integración de los sistemas EDR y construir bases de conocimiento para las organizaciones.
A pesar de que contiene parte de estos elementos, el SIEM ha cambiado en los últimos 15 años, convirtiéndose en el centro neurálgico de la estrategia de detección y respuesta a incidentes de seguridad, es el corazón del SOC.