Tema 14
Prevenir es necesario, pero no suficiente. En seguridad de red también hace falta observar, detectar y reaccionar. Los sistemas de monitoreo y correlación permiten transformar el tráfico, los eventos y los registros en señales útiles para descubrir actividad anómala antes de que el incidente escale.
Una red puede estar bien segmentada, usar protocolos seguros y aplicar autenticación fuerte, y aun así sufrir incidentes. Las defensas preventivas reducen riesgo, pero no garantizan que todo intento malicioso será bloqueado. Por eso la detección es una parte esencial de la seguridad.
Monitorear significa observar lo que ocurre en la red y en los sistemas asociados para identificar comportamientos anómalos, violaciones de política, intentos de intrusión o signos tempranos de compromiso. IDS, IPS y SIEM son conceptos clave dentro de ese enfoque.
Este tema no trata solo de herramientas. Trata de visibilidad, contexto, calidad de señal y capacidad operativa para convertir eventos dispersos en decisiones útiles.
Si una organización no observa su red, depende exclusivamente de que los controles preventivos nunca fallen. Esa expectativa no es realista. Los errores de configuración, las nuevas amenazas, las excepciones heredadas y los ataques internos o remotos hacen necesario contar con mecanismos de detección.
El monitoreo continuo ayuda a:
IDS significa Intrusion Detection System. Su objetivo es detectar actividad sospechosa o maliciosa y generar alertas, pero sin intervenir directamente sobre el tráfico. Funciona como un sensor o mecanismo de observación.
Un IDS puede analizar:
IPS significa Intrusion Prevention System. A diferencia del IDS, no solo detecta, sino que también puede bloquear o prevenir cierto tráfico considerado malicioso o no permitido. Para ello suele estar en línea o en una posición con capacidad de intervención.
Mientras el IDS alerta, el IPS puede actuar. Esa capacidad es útil, pero también exige más cuidado porque una detección incorrecta puede bloquear tráfico legítimo.
| Aspecto | IDS | IPS |
|---|---|---|
| Acción principal | Detectar y alertar | Detectar y bloquear o limitar |
| Impacto directo sobre el tráfico | No interviene normalmente | Sí, puede intervenir |
| Riesgo operativo | Menor impacto directo | Mayor riesgo de falsos positivos con bloqueo |
| Uso habitual | Visibilidad y detección | Protección activa en puntos críticos |
Los sistemas de detección suelen apoyarse en dos enfoques principales, que no son excluyentes.
El enfoque por firmas es útil para detectar lo conocido. El enfoque por comportamiento ayuda a detectar lo inusual, aunque puede generar más ruido si la línea base no está bien construida.
SIEM significa Security Information and Event Management. Es una plataforma orientada a centralizar, normalizar, correlacionar y analizar eventos de múltiples fuentes para generar contexto de seguridad.
Mientras un IDS o un firewall pueden generar alertas aisladas, el SIEM busca responder una pregunta más amplia: ¿qué está pasando realmente si combinamos estos eventos entre sí?
El valor del SIEM depende en gran parte de la calidad y cobertura de estas fuentes.
El SIEM permite correlacionar eventos que, vistos por separado, podrían parecer triviales. Por ejemplo:
Ese contexto mejora mucho la capacidad de detectar incidentes reales y priorizar respuesta.
Un error frecuente es creer que tener logs equivale a tener visibilidad. En realidad, los registros sin revisión, correlación ni criterio operativo aportan mucho menos valor del esperado. Monitorear implica transformar datos en señales útiles.
Para eso hacen falta:
Uno de los grandes desafíos del monitoreo es el exceso de alertas irrelevantes. Si el sistema genera demasiado ruido, el equipo operativo termina ignorando señales que sí importan. Esto se conoce como fatiga de alertas.
Reducir ese problema requiere:
La efectividad de IDS, IPS o sensores de red depende en gran parte de dónde observan. No todos los puntos de la infraestructura ofrecen el mismo contexto.
| Ubicación | Qué permite ver | Limitación típica |
|---|---|---|
| Perímetro | Entrada y salida a internet | No siempre muestra movimiento lateral interno |
| Entre zonas internas | Flujos críticos entre segmentos | Requiere diseño y puntos de visibilidad claros |
| Host o endpoint | Actividad local del sistema | No ve el panorama completo de la red |
El uso creciente de cifrado protege la comunicación, pero también complica la inspección. Esto obliga a combinar estrategias: observar metadatos, correlacionar eventos, inspeccionar donde el tráfico ya está descifrado o apoyarse más en contexto del endpoint y de la aplicación.
El hecho de que un flujo esté cifrado no lo vuelve automáticamente benigno. Por eso la visibilidad debe evolucionar sin depender exclusivamente del contenido en claro.
El SIEM no solo sirve para mirar el pasado. También puede apoyar la respuesta operativa cuando detecta combinaciones de eventos relevantes. Por ejemplo, puede disparar investigación sobre una cuenta comprometida, priorizar hosts afectados o mostrar una línea temporal útil del incidente.
Su valor aumenta cuando está integrado con procesos claros de escalamiento, análisis y contención.
Monitorear una red no es simplemente acumular registros, sino construir una capacidad real de ver, interpretar y responder. IDS, IPS y SIEM cumplen funciones distintas pero complementarias dentro de esa misión. Cuando se diseñan bien y se alinean con la arquitectura y los procesos, permiten detectar antes, investigar mejor y reaccionar con mayor precisión.
En el próximo tema estudiaremos logs, NetFlow, análisis de paquetes y visibilidad de red para profundizar todavía más en las fuentes y técnicas que alimentan esa capacidad de observación.