Vulnerability Check Basic
Detecte brechas de seguridad en 48 horas. Una visión rápida de las posibles vulnerabilidades de su infraestructura info…
VerPaquetes y suscripciones
SOC como servicio
Los cortafuegos y los antivirus avisan de lo que reconocen. Son equipamiento básico, no una defensa. Lo que no reconocen —un inicio de sesión válido a la hora equivocada, una cuenta de servicio que de pronto se pone a recorrer recursos compartidos— solo se nota si alguien está mirando. Y mirando en el momento en que ocurre, no el lunes por la mañana.
01
El punto de partida
Los ataques no respetan el horario de oficina
Para eso está exactamente un centro de operaciones de seguridad: reunir los eventos de toda la red, separar lo corriente de lo llamativo y actuar cuando importa. Todos los días del año, a cualquier hora. El esfuerzo que eso supone es considerable, y es el motivo de que la mayoría de las empresas nunca lleguen a poner en marcha un SOC propio.
SOC como servicio significa que lo operamos nosotros por usted. Sensores en su entorno, análisis de nuestro lado y escalado según reglas acordadas de antemano. Si prefiere compartir la monitorización con su propio equipo antes que cederla por completo, el SOC cogestionado es el modelo que encaja.
02
La constatación
Por qué un SOC propio rara vez llega a existir
El plan suele empezar con ambición y fracasa en tres puntos. El primero es el personal. Un SOC por turnos necesita de ocho a diez analistas para cubrir noches, festivos y bajas. El mercado apenas ofrece hoy esas personas, y quien las encuentra compite por ellas con sueldos de gran empresa.
El segundo es la tecnología. Licenciar un SIEM es la parte fácil. Ajustarlo para que conozca de verdad su entorno son meses de trabajo, y ese trabajo no termina, porque el entorno sigue cambiando.
El tercero solo aparece en la operación. Un sistema mal ajustado comunica decenas de miles de eventos al día, casi todos inofensivos. A las pocas semanas ya nadie los lee con atención. A esto se le llama fatiga de alertas. No describe una pérdida de comodidad, sino el estado en el que el único aviso que cuenta desaparece entre los demás.
Un aviso que nadie lee no es un aviso.
03
El planteamiento
Qué significa realmente SOC como servicio
Colocamos sensores en su red, en sus endpoints y en sus entornos en la nube, y reunimos los eventos en nuestra propia operación. La correlación se hace con Strider, nuestra propia capa de monitorización. El comportamiento inusual lo valora NeoI, que contrasta lo que observa con lo que es normal en su entorno.
Lo que de ahí sale como incidente lo juzga un analista. Las contramedidas automáticas —aislar un sistema mediante Talion, por ejemplo— solo se configuran allí donde usted lo desea expresamente, y dejamos por escrito de antemano en qué condiciones se aplican. Las herramientas quitan ruido. La decisión sobre una contramedida la toma una persona. Lo que vemos, y en qué quedó, puede seguirlo en Sightadel, no solo en el informe mensual.
Lo que expresamente no es: un sustituto de su departamento de informática. Operar sistemas y asegurarlos son trabajos distintos con objetivos enfrentados: uno optimiza la disponibilidad y el buen funcionamiento; el otro, el control y el escepticismo. Nosotros asumimos el segundo.
El beneficio
Qué obtiene con ello
Cobertura continua
la infraestructura, las aplicaciones y las bases de datos se vigilan por turnos los 365 días del año. Un incidente un sábado por la tarde se atiende el sábado por la tarde.
Coste previsible
paga un importe fijo en lugar de licencias, hardware, selección de personal y formación. Si eso le sale más barato que un SOC propio lo calculamos antes con sus cifras: un porcentaje genérico no le sirve a nadie.
Experiencia de muchos entornos
un equipo interno solo ve los ataques dirigidos a su propia empresa. Nosotros vemos los patrones en muchos clientes y los trasladamos a su detección.
Evidencias para auditorías
los informes y registros para el RGPD, NIS2, ISO 27001 y los requisitos sectoriales están disponibles a demanda en Sightadel. Es documentación de apoyo a una auditoría, no una certificación.
Puesta en marcha corta
desplegar sensores y fijar las reglas base lleva semanas, no años. El ajuste fino continúa después durante la operación.
Crece con usted
nuevas sedes, instancias adicionales en la nube, procesos modificados; la cobertura se amplía sin detener la operación en curso.
El proceso
Cómo transcurre la operación
La seguridad no es un estado que se compra, sino uno que alguien sostiene. Por eso la operación se desarrolla en seis pasos que encajan entre sí:
- 01
Inventario
registramos lo que hay: red, endpoints, identidades, nube. Lo que no se registra tampoco se vigila. Por eso este paso va primero y no como añadido.
- 02
Conexión
se conectan sensores y fuentes de registro, se fijan las reglas base y se limpian los falsos positivos conocidos. Solo después merece la pena leer un informe.
- 03
Monitorización
los eventos se reúnen en tiempo real. Los inicios de sesión, los procesos y los flujos de datos se contrastan con lo que es normal en su entorno, no con una lista genérica.
- 04
Buscar en lugar de esperar
los analistas persiguen hipótesis concretas en vez de limitarse a reaccionar ante los avisos. Un atacante que solo usa herramientas legítimas a menudo no dispara ni uno.
- 05
Respuesta
ante un incidente confirmado se aplica el procedimiento acordado: contener, aislar, informar. Quién llama a quién y cuándo queda fijado antes de que suene el teléfono.
- 06
Retroalimentación
recibe informes sobre incidentes y anomalías. Lo que aprendemos vuelve a la monitorización como regla; de lo contrario el análisis no valía el trabajo.
04
De la práctica
Tres puntos de partida, tres vías de entrada
Los atacantes no eligen al azar. A menudo conocen los puntos débiles de un sector mejor que las propias empresas de ese sector. Las tres constelaciones siguientes describen puntos de partida habituales, del tipo que encontramos con regularidad en esos sectores; no son casos concretos de clientes determinados.
Punto de partida 1
Servicios financieros: el acceso que nadie nota
Lo que suele esperarse es que los atacantes quieran interceptar transferencias. Con más frecuencia van tras los documentos: evaluaciones crediticias, historiales de operaciones, expedientes. Con ellos puede presionarse no solo a la propia empresa, sino también a sus clientes.
La vía de entrada rara vez pasa por un fallo del software. Las credenciales de empleados llevan a menudo años circulando por filtraciones antiguas de terceros. Quien inicia sesión con ellas está usando una identidad válida: para el cortafuegos es un acceso corriente.
Aquí lo único que sostiene es la desviación: el momento, el origen, el orden en que se accede a las cosas. Si una cuenta inicia sesión a las tres de la madrugada desde otro país y después recorre recursos compartidos que no encajan con su puesto, ese es el hallazgo, no el inicio de sesión en sí.
01
Datos muy sensibles bajo requisitos regulatorios estrictos.
02
Un equipo interno de informática pequeño, sin cobertura en fines de semana ni festivos.
03
Un atacante que se mueve con credenciales correctas y no dispara firma alguna.
Punto de partida 2
Comercio electrónico: un crecimiento que adelanta a las salvaguardas
Cuando una empresa crece deprisa, la superficie de ataque crece con ella: servidores nuevos, instancias nuevas en la nube, compañeros nuevos. Con las prisas aparecen la informática en la sombra y las configuraciones abiertas. El personal recién incorporado está especialmente expuesto al phishing dirigido, porque todavía no puede juzgar qué aspecto tiene normalmente un proceso interno.
El objetivo no suele ser la base de datos de clientes, sino el control de la infraestructura de la tienda, y el momento de mayor palanca es el periodo de mayor actividad comercial.
Aquí importa menos la detección que el inventario: lo que se añade hoy tiene que llegar hoy a la monitorización. Hacer inventario no es, por tanto, un paso único al principio, sino parte de la operación en marcha. Cuán resistente es además el factor humano lo aclara una formación en concienciación más rápido que cualquier suposición.
01
Una infraestructura que cambia más rápido de lo que la documentación puede seguir.
02
Campañas de phishing dirigidas a personal que aún no tiene rutina.
03
La exigencia de que asegurarlo no frene el negocio.
Punto de partida 3
Despachos de abogados: el rodeo por el proveedor
Los despachos de abogados custodian material que en cualquier otro sitio se guarda bajo llave: operaciones no publicadas, solicitudes de patente, expedientes. Para los atacantes, el despacho es con frecuencia la vía más cómoda hacia los datos de una gran empresa: un ataque a través de la cadena de suministro en lugar de contra el objetivo real.
Lo que lo complica es que los socios tienen permisos de acceso muy amplios y a menudo trabajan de viaje. Quien consigue entrar en un entorno así suele pasar mucho tiempo sin ser detectado.
Aquí la medida es el tiempo de permanencia: no lo rápido que salta un aviso, sino cuánto puede alguien moverse sin ser visto. A eso apunta precisamente la búsqueda activa, y a que los accesos privilegiados sigan vigilados también cuando se usan desde fuera.
01
Datos de clientes cuya divulgación no supone solo multas, sino el fin de los encargos.
02
Prácticamente ningún recurso interno para una operación de seguridad propia.
03
Trabajo móvil e híbrido que transcurre en buena medida fuera de la red de la oficina.
05
Para terminar
Quién es aquí su interlocutor
Un sistema vale siempre lo que valen las personas que lo operan. Con nosotros no acaba en una centralita genérica. Su responsable de SOC conoce su entorno, dirige la respuesta en una emergencia y traduce lo ocurrido técnicamente a una forma con la que pueda trabajar dentro de su organización, tanto ante la dirección como ante un auditor.
Si ya hay un incidente en curso y todavía no tiene contrato con nosotros, la respuesta inmediata es la vía de entrada correcta. Todo lo demás puede resolverse después.
FAQ
Preguntas frecuentes
¿Cuál es la diferencia entre un SOC propio y un SOC como servicio?
Un SOC propio significa hardware propio, licencias propias y, sobre todo, personal propio por turnos: de forma realista, de ocho a diez analistas para cubrir noches, fines de semana y festivos. Con el SOC como servicio aportamos la tecnología, la operación y el turno; usted mantiene la autoridad sobre sus sistemas y define qué puede ocurrir en una emergencia.
¿Con qué rapidez reaccionan si nos atacan?
La detección funciona a todas horas y la atención empieza de inmediato. No hacemos, eso sí, una promesa genérica en minutos: los tiempos de respuesta por gravedad están en el contrato. Lo que de verdad es alcanzable depende de su entorno y de qué contramedidas nos permita automatizar de antemano. Se lo decimos antes de firmar, no después.
¿El servicio cubre también los entornos en la nube?
Sí. Vigilamos infraestructura local, montajes híbridos y entornos puramente en la nube. Qué servicios concretos pueden conectarse se aclara durante el inventario; con algunos proveedores el factor limitante es el alcance de los registros que ponen a disposición, no nuestras herramientas.
Ya tenemos departamento de informática. ¿Sigue teniendo sentido?
Sí, porque son dos trabajos distintos. Su equipo de informática mantiene los sistemas en marcha para que la gente pueda trabajar; la operación de seguridad consiste en restringir, comprobar y dudar. Quien responde de ambas cosas a la vez decidirá, en caso de duda, a favor de la operación, y es comprensible. Si su equipo debe participar en la monitorización en lugar de cederla, el SOC cogestionado es la forma adecuada.
¿Cubre esto nuestros requisitos de cumplimiento?
Aportamos las evidencias que necesita una auditoría: registros, informes de incidentes y prueba de que la monitorización es eficaz, para el RGPD, NIS2, ISO 27001 y los requisitos sectoriales. Cumplir los requisitos es, en última instancia, tarea de su empresa y no de un proveedor. Aportamos la parte relativa a la operación de seguridad y le indicamos junto a ella qué huecos quedan.
¿Qué ven ustedes de nuestros datos?
Analizamos metadatos: conexiones, inicios de sesión, comportamiento de procesos, archivos de registro. No leemos el contenido de correos ni de documentos. Qué se recoge exactamente está en el contrato y en el acuerdo de tratamiento de datos; el análisis se mantiene dentro del marco acordado.
¿Merece la pena por debajo del tamaño corporativo?
Sobre todo ahí, porque el umbral es el personal, no la tecnología. Una empresa de 80 empleados no puede cubrir un turno, pero la atacan igual. El alcance escala con el entorno; si el esfuerzo no le compensa, se lo decimos en la primera conversación.
¿Cómo empezamos?
Con un inventario de su entorno. Después se despliegan los sensores y se fijan las reglas base, sin interrumpir su operación. Sigue una fase de calibración en la que se limpian los falsos positivos; solo después la monitorización está afinada. Eso suele llevar unas semanas, según lo bien documentado que esté su entorno.
Paquetes y suscripciones
Más servicios de esta área
Concienciación en seguridad
Módulos mensuales, simulaciones de phishing y talleres presenciales: un programa anual en vez de una formación obligato…
VerRed Teaming
Cómo el Red Teaming revela vulnerabilidades de forma realista, refuerza la ciberresiliencia y ayuda a las empresas con …
VervCISO
CISO externo por suscripción flexible: acompañamiento ISO 27001, implantación de un SGSI, formación del equipo SOC y as…
VerCISO externo
Un CISO externo (vCISO) refuerza su seguridad informática de forma estratégica y flexible — con asesoría conforme a ISO…
VerImplantación SGSI
Por qué un SGSI estratégico según ISO/IEC 27001 es hoy imprescindible. Así reducen las empresas sus ciberriesgos y cump…
VerContacto
La reputación tarda años. Destruirla, segundos.
Hable con nosotros antes de que lo haga otro. La primera conversación es gratuita y respondemos el mismo día laborable.