En cualquier Centro de Operaciones de Seguridad (SOC), la capacidad de detectar una amenaza depende directamente de la información que recibe. Ninguna regla de detección, algoritmo o analista puede identificar aquello que no está siendo monitorizado.
Por este motivo, el modelo SOC Critical Path (SCP), propuesto en el artículo "SOC Critical Path: A Defensive Kill Chain Model" (IEEE, 2022), sitúa la recopilación como la primera fase del proceso de detección y respuesta. Antes de analizar, detectar o responder, es imprescindible disponer de una visión lo más completa posible de los activos y de la actividad que se produce en la organización.
Sin embargo, disponer de más fuentes de información no siempre implica disponer de una mejor visibilidad. La cuestión no es cuántos datos se recopilan, sino si éstos permiten responder a las preguntas que un SOC necesita plantearse cuando investiga una posible amenaza.
Cómo evaluar la cobertura de monitorización del SOC
Una forma sencilla de evaluar esta fase consiste en analizar si el SOC recibe información de todos aquellos ámbitos que pueden resultar relevantes para detectar un incidente.
Estas preguntas pueden servir como punto de partida:
Activos
- ¿Disponemos de un inventario actualizado de los activos que deben monitorizarse?
- ¿Existen sistemas o servicios críticos que todavía no generan eventos para el SOC?
Endpoints
- ¿Se recibe información de los equipos de usuario y servidores?
- ¿La cobertura alcanza tanto a sistemas corporativos como a aquellos con funciones críticas?
Red
- ¿Disponemos de visibilidad sobre las comunicaciones que se producen dentro y fuera de la organización?
- ¿Existen segmentos de red con una monitorización limitada?
Identidad
- ¿Podemos detectar actividades anómalas relacionadas con usuarios o credenciales?
- ¿La información de autenticación se integra en los procesos de detección?
Servicios en la nube
- ¿Los entornos cloud generan eventos con el mismo nivel de detalle que la infraestructura tradicional?
- ¿Existe visibilidad sobre las actividades realizadas en estos servicios?
No cumplir con alguna de estas cuestiones no implica necesariamente que exista un problema, pero sí puede indicar que determinadas amenazas resultarán más difíciles de detectar.
La importancia de detectar carencias antes de convertirse en puntos ciegos
Los puntos ciegos suelen aparecer de forma gradual. Una nueva aplicación, un servicio desplegado con urgencia o un cambio en la infraestructura pueden quedar fuera del alcance del SOC sin que nadie sea del todo consciente de ello.
Por este motivo, revisar periódicamente las fuentes de información disponibles resulta tan importante como incorporar nuevas capacidades de detección.
Algunas acciones que pueden ayudar a identificar posibles carencias son:
- Revisar periódicamente qué activos forman parte del alcance del SOC y cuáles permanecen fuera de la monitorización.
- Comparar las fuentes de eventos disponibles con la arquitectura actual de la organización para detectar posibles lagunas.
- Verificar que las nuevas plataformas o servicios incorporados generan información útil para el SOC desde el momento de su puesta en producción.
- Evaluar no solo la cantidad de eventos recibidos, sino también su calidad y utilidad durante las investigaciones.
- Revisar de forma periódica si la información disponible permite reconstruir un incidente de principio a fin o si existen fases en las que falta contexto.
La recopilación constituye el punto de partida de todo el ciclo de detección. Una cobertura insuficiente puede limitar la eficacia del resto de las fases, mientras que una estrategia de recopilación bien planificada proporciona a los analistas la información necesaria para investigar con mayor rapidez y tomar decisiones más eficaces.
