IDS IPS EDR SIEM SOAR XDR

IDS, IPS, EDR, XDR

Estas siglas describen capacidades que se solapan. Conviene preguntar qué telemetría llega y qué respuesta está configurada, en vez de esperar que el nombre comercial cierre el portal solo. ┐(￣ヘ￣)┌

IDS (Sistema de Detección de Intrusiones)

Un IDS, por sus siglas en inglés Intrusion Detection System, es una aplicación que monitorea los sistemas y la actividad de red, y produce alertas sobre posibles intrusos. Recolecta y analiza la información del sistema en busca de actividades anormales. Si detecta algo inusual, envía una alerta.

IPS (Sistema de Prevención de Intrusiones)

Similar al IDS, un IPS (Intrusion Prevention System) no solo detecta intrusiones, sino que también proporciona acciones automatizadas para detenerlas. Es una medida más proactiva que no solo alerta sobre posibles amenazas, sino que también toma medidas para bloquearlas y prevenir daños.

EDR (Detección y Respuesta de Puntos de Conexión)

EDR, por sus siglas en inglés Endpoint Detection and Response, es una aplicación que monitorea la actividad maliciosa en un punto de conexión. Se instalan en dispositivos conectados a una red, como computadoras, teléfonos, entre otros. Identifican, alertan y responden a actividades sospechosas.

EDR se centra en telemetría, detección y respuesta en endpoints. IDS/IPS también pueden analizar comportamientos; esa no es una diferencia exclusiva. Las respuestas automáticas de EDR dependen del producto, sus permisos y las políticas configuradas.

Herramientas relacionadas con detección y análisis; no todas son IPS ni EDR:

Algunas soluciones de EDR reconocidas incluyen:

XDR

Extended Detection and Response. Integra telemetría, detección e investigación/respuesta entre varias fuentes; la cobertura depende del producto y las integraciones habilitadas.

SIEM

Security Information and Event Management (SIEM) es una herramienta integral que recopila, correlaciona y analiza registros (logs) de diferentes fuentes en una red para identificar y responder a amenazas de seguridad. Es fundamental para monitorear actividades críticas en una organización y proporcionar una visión en tiempo real de posibles amenazas.

Características

Recolección y agregación de información:
- Recopila registros de diversas fuentes, como sistemas de detección y prevención de intrusiones (IDS/IPS), bases de datos, firewalls, entre otros.
- Centraliza estos registros en un repositorio central para un análisis más efectivo.
Normalización de la información:
- Convierte campos a una representación o esquema coherente. Filtrar, deduplicar o descartar datos son decisiones diferentes y deben evaluarse por separado.
- Normaliza los registros para crear consistencia en el formato y facilitar su análisis.
Análisis basado en reglas:
- Utiliza reglas predefinidas para analizar los registros y detectar posibles incidentes de seguridad.
- Categoriza y/o informa las alertas generadas por estas reglas para su revisión por parte de los analistas de seguridad.

Logs

Cada sistema SIEM tiene una forma diferente de ingerir logs.

Agent / Forwarder: En estos casos la solución SIEM provee de una herramienta llamada Agent (forwarder en Splunk) que se instala en el Endpoint. Se configura para capturar todos los logs importantes y reenviarlos al servidor SIEM
Syslog: Más común de los protocolos para recolectar información de varios sistemas como bases de datos, servidores web, etc. El envío, su latencia y entrega dependen del protocolo, transporte y configuración; no garantiza que lleguen todos los eventos en tiempo real.
Subida manual: Algunas soluciones (como SPLUNK y ELK) permiten a un usuario enviarle información de forma offline para un análisis rápido. Cuando se ingresan los datos, estos son normalizados.
Entrada TCP/UDP: un receptor puede escuchar en un puerto configurado. Eso no es por sí mismo port forwarding, que reenvía tráfico entre destinos. Splunk

Análista SOC y SIEM

SIEM es uno de los componentes más importantes de un centro de operaciones de seguridad (SOC).

Como analista SOC, utilizamos los SIEM para tener mejor visibilidad de lo que sucede en la red.

Monitoreo e investigación
Identificación de falsos positivos
Modificación de reglas que provocan ruido o falsos positivos
Reportes
Identificación de puntos ciegos

Qradar dashboard

En los dashboards de un SIEM podemos encontrar una diversidad de información como por ejemplo:

Alertas notables
Notificaciones de sistema
Alertas de salud del sistema
Listado de intentos de login fallidos
Reglas disparadas
TOP LEVEL DOMAINS (TLD) visitados

Reglas de correlación

Básicamente son expresiones lógicas que al ser gatilladas, disparan una alerta o ejecutan una acción particular. Por ejemplo:

Si se vacía el registro de auditoría Security de Windows, el evento documentado es 1102. No significa «intento fallido» ni demuestra por sí solo intención maliciosa. La regla debe incluir proveedor y canal, además del número. Microsoft: evento 1102. Ejemplo conceptual de alerta:
- IF (Channel = Security AND Provider = Microsoft-Windows-Eventlog AND EventID = 1102) {TRIGGER ALERT = "Event Log Cleared"}
whoami también se usa legítimamente. Como ejemplo didáctico, una regla puede observar su ejecución y añadir contexto antes de escalar. El evento 4688 requiere auditoría de creación de procesos; registrar argumentos necesita una configuración adicional.
- IF (log source = WinEventLog AND EventID = 4688 AND NewProcessName HAS "whoami"){TRIGGER ALERT = "whoami command detected" nota: usé pseudocódigo para claridad

SOAR

Security Orchestration, Automation, and Response (SOAR) es una plataforma que automatiza el análisis y la respuesta a eventos de seguridad e incidentes. Además de la automatización, SOAR también facilita la gestión y el seguimiento de casos de seguridad.

Automatización y orquestación:
- Permite la automatización de tareas repetitivas relacionadas con la detección y respuesta a incidentes de seguridad.
- Coordina la ejecución de diferentes herramientas y procesos de seguridad para una respuesta más eficiente y coordinada.
Gestión de casos:
- Permite la creación y seguimiento de casos de seguridad que involucran múltiples incidentes o actividades relacionadas.
- Proporciona una vista centralizada de todos los incidentes y acciones tomadas en respuesta a ellos.

Véase también

Logs — Eventos que alimentan correlación y detección.
SIEM con Wazuh (Win & Linux) — Aplicación práctica de SIEM con agentes Windows y Linux.

Fuentes adicionales: NIST SP 800-94, IDS/IPS, Zeek, monitor de red y Microsoft, evento 4688. Las reglas son pseudocódigo, no sintaxis lista para un SIEM concreto.

+----------------------------------------+
| Floure &                               |
| Tachibana's guild                      |
| [Hikari · Nozomi · Rin]                |
| SEAL: sha256/12: 268967579725          |
| STATUS: LITURGY_IN_PROGRESS            |
+----------------------------------------+