Es fácil pensar que cuantos más datos recibe un SOC, mayor será su capacidad para detectar amenazas. Sin embargo, la realidad suele ser justo la contraria. A medida que aumenta el volumen de eventos, también lo hacen el ruido y el tiempo necesario para encontrar aquello que realmente importa.
Por este motivo, el modelo SOC Critical Path (SCP) sitúa el procesamiento de la información como una fase independiente de la recopilación. Antes de generar una detección, los eventos deben transformarse en información útil para los analistas.
En otras palabras, no basta con recopilar datos, hay que prepararlos para que puedan convertirse en detecciones eficaces.
El problema no suele ser la falta de información
Muchos SOC reciben eventos procedentes de firewalls, EDR, sistemas de autenticación, dispositivos de red, aplicaciones o servicios en la nube. El problema es que esa información llega con formatos diferentes, niveles de detalle distintos y, en ocasiones, con un volumen de datos que dificulta encontrar aquello que realmente merece atención.
Cuando esto ocurre, los analistas dedican una parte importante de su tiempo a tareas que aportan poco valor, como buscar contexto en varias herramientas, interpretar formatos distintos o revisar eventos duplicados antes incluso de empezar la investigación.
Cinco preguntas para revisar el procesamiento de eventos
Más que preguntarse si se reciben suficientes eventos, puede resultar útil analizar si esa información está preparada para facilitar la detección.
1. ¿Los eventos de diferentes tecnologías utilizan una estructura homogénea que facilite su análisis?
- Cuando cada herramienta presenta la información de forma distinta, la correlación y la investigación se vuelven más complejas.
2. ¿Los eventos incorporan el contexto necesario para que el analista pueda interpretarlos rápidamente?
- Disponer de información sobre el activo afectado, el usuario implicado o el nivel de criticidad puede reducir significativamente los tiempos de análisis.
3. ¿Existe un volumen elevado de eventos duplicados o con poco valor operativo?
- Más información no siempre significa mejores resultados. En ocasiones, únicamente incrementa el ruido.
4. ¿La calidad de los datos facilita construir reglas de detección eficaces?
- Una detección es tan buena como la información sobre la que se apoya.
5. ¿Los analistas dedican más tiempo a preparar la información que a investigar el incidente?
- Si la respuesta es afirmativa, probablemente existe margen de mejora en esta fase del proceso.
Qué acciones pueden marcar la diferencia
No todas las mejoras requieren incorporar nuevas herramientas. En muchos casos, revisar cómo se procesa la información disponible tiene un impacto mucho mayor que aumentar el volumen de eventos recopilados.
Algunas actuaciones que pueden aportar mejoras son:
- Revisar periódicamente qué fuentes generan información realmente útil para la detección.
- Homogeneizar la estructura de los eventos procedentes de diferentes tecnologías.
- Incorporar procesos que aporten contexto antes de que la información llegue al analista.
- Reducir la presencia de eventos duplicados o poco relevantes que aumenten el ruido.
- Verificar periódicamente que la información disponible permite construir detecciones fiables y facilita la investigación posterior.
La calidad de una detección comienza mucho antes de que una regla genere una alerta. Depende, en gran medida, de que la información llegue al SOC preparada para ser interpretada.
