Menos ruido. Más señal. Detecciones que sí se disparan.
Afinamiento de SIEM, ingeniería de detección y contenido personalizado para su entorno. Splunk, Sentinel, Elastic, Sumo Logic, Chronicle y otros. Construido alrededor de MITRE ATT&CK para que sus brechas de cobertura sean visibles y sus prioridades, defendibles.
Su SIEM está generando alertas, no detecciones
La mayoría de las implementaciones de SIEM vienen con contenido predeterminado escrito para funcionar en un entorno genérico. En su entorno, eso se traduce en miles de alertas de baja fidelidad que se disparan ante comportamientos normales, y en casi ninguna detección de alta fidelidad afinada a su superficie de ataque real. El resultado es una cola en la que su equipo de analistas deja de confiar, una plataforma que cuesta seis cifras al año en licenciamiento y amenazas reales que se mueven por el entorno sin activar nada útil.
La diferencia entre un SIEM usado como recolector de registros y uno usado como plataforma de detección no está en el producto. Está en el contenido y en el afinamiento. Un recolector de registros ingiere sus datos y los almacena. Una plataforma de detección tiene casos de uso escritos para su entorno, reglas de supresión que reducen los falsos positivos a un nivel manejable y un mapa de cobertura documentado que muestra qué puede detectar y dónde está ciego. Esa brecha es la que cerramos.
Señales de que necesita esto
- Su SOC o equipo de TI ha deshabilitado o silenciado alertas porque el volumen era inmanejable
- No puede decirle a un miembro del consejo qué técnicas de MITRE ATT&CK puede detectar hoy
- Su factura de SIEM sigue subiendo, pero la cantidad de alertas accionables no crece con ella
- Incorporó una nueva fuente de registros y nadie ha escrito detecciones contra ella
- Compró Splunk o Sentinel hace 18 meses y todavía opera mayormente con contenido predeterminado
- Tuvo un incidente y su SIEM tenía los datos, pero ninguna alerta se disparó durante la intrusión
Lo que recibe
Cada proyecto comienza por entender qué tiene y qué le falta. El resultado es una biblioteca de detecciones, un conjunto de alertas afinado y documentación que su equipo puede operar y ampliar. Todo el contenido se escribe en el lenguaje de consulta nativo de su plataforma y permanece en su entorno.
Inventario de detecciones y mapa de cobertura ATT&CK
- Auditoría de todo el contenido de detección actual: qué está habilitado, qué está silenciado, qué está roto
- Mapa de calor de MITRE ATT&CK que muestra técnicas cubiertas, parcialmente cubiertas y sin cubrir
- Lista priorizada de brechas según su entorno y su perfil de amenazas
Contenido de detección personalizado
- Nuevos casos de uso escritos en el lenguaje nativo de su SIEM (SPL, KQL, ESQL o equivalente)
- Mapeados a técnicas ATT&CK específicas para que la cobertura sea rastreable con el tiempo
- Probados contra datos reales o simulados antes de promoverlos a producción
Afinamiento de alertas y estrategia de fuentes de registros
- Reglas de supresión y umbrales que reducen los falsos positivos sin enmascarar amenazas reales
- Plan de incorporación de fuentes de registros: qué ingerir, qué omitir y por qué
- Revisión de optimización de costos para identificar ingestas de alto volumen y bajo valor que inflan su licencia
Documentación y runbooks
- Documentación a nivel de detección: qué detecta cada caso de uso, por qué importa y qué hacer cuando se dispara
- Runbooks de triaje que su equipo de analistas puede seguir sin escalar a un ingeniero sénior cada vez
- Proceso de gestión de contenido para que las nuevas detecciones no se desplieguen y se olviden
Cómo funciona el proyecto
Los proyectos estándar duran de 4 a 8 semanas según la madurez del SIEM, el número de fuentes de registros y el tamaño de la brecha de detección. Los proyectos en varios entornos —incluida la consolidación de SIEM posterior a fusiones y adquisiciones— duran más. Definimos el alcance con base en lo que encontramos en el inventario inicial, no en una suposición de tarifa fija.
Estructura del proyecto
- Fase 1 (semanas 1-2): descubrimiento, inventario y línea base de cobertura ATT&CK
- Fase 2 (semanas 2-6): desarrollo, afinamiento y pruebas de contenido de detección
- Fase 3 (semanas 6-8): documentación, entrega de runbooks y recorrido con los analistas
- Continuo: esquema mensual opcional para desarrollar nuevos casos de uso a medida que evoluciona su entorno
Lo que le pedimos
- Acceso de lectura a su entorno de SIEM y al contenido de detección actual
- Un contacto designado en su equipo de seguridad o de TI que pueda responder preguntas sobre el entorno
- Acceso a un entorno fuera de producción para probar detecciones cuando sea posible
- Disposición a deshabilitar o archivar contenido que no funciona, incluso si lo provee el proveedor
Por qué Red Hound para ingeniería de detección
Hemos creado contenido de detección para SOC de empresas Fortune 500. Sabemos cómo se ve una alerta desde la silla del analista a las 3 de la madrugada, y escribimos contenido que le da a un analista cansado el contexto suficiente para tomar una decisión de triaje en dos minutos. Las bibliotecas de detección genéricas no hacen eso. El contenido personalizado escrito para su entorno sí.
Lo que nos hace diferentes
- Profundidad de SOC Fortune 500. Hemos escrito contenido de detección para entornos de SOC a gran escala con altos volúmenes de alertas. Sabemos qué sobrevive a escala y qué inunda la cola.
- Perspectiva del atacante. Nuestra trayectoria ofensiva implica que escribimos detecciones en torno a cómo operan realmente los atacantes, no a lo que sugiere la documentación del proveedor.
- Cobertura basada en ATT&CK. Cada detección se mapea a una técnica específica. Las brechas de cobertura son visibles en un mapa de calor, no quedan enterradas en una hoja de cálculo.
- Contenido que conserva. Todo lo que escribimos es suyo. Sin formatos propietarios, sin dependencia de nuestra plataforma. Usted es dueño de las detecciones que construimos.
- Afinamiento consciente del costo. Conocemos el licenciamiento de SIEM lo suficientemente bien como para identificar ingestas que le cuestan dinero sin mejorar su postura de detección.
Preguntas frecuentes
Preguntas comunes de los equipos de seguridad y de TI antes de iniciar un proyecto de optimización de SIEM.
¿Qué SIEM soportan?
Splunk, Microsoft Sentinel, Elastic SIEM, Sumo Logic y Google Chronicle son los más comunes. También soportamos IBM QRadar y LogRhythm. Si usa una plataforma menos común, pregúntenos en la llamada de diagnóstico y le diremos con honestidad si tenemos la profundidad necesaria para serle útiles.
¿Necesitamos tener un SIEM ya instalado para empezar?
El proyecto de ingeniería de detección asume un SIEM desplegado con las fuentes de registros ya incorporadas. Si está evaluando SIEM o levantando uno desde cero, podemos ayudarle con la selección de plataforma y la arquitectura inicial antes de pasar al desarrollo de contenido. Esos son alcances distintos.
¿Y las plataformas EDR y XDR?
Las plataformas EDR y XDR tienen su propio contenido de detección y sus propios canales de alertas. Podemos afinar las políticas de alertas de EDR y construir casos de uso de SIEM que correlacionen la telemetría de EDR con otras fuentes de registros para capturar lo que el EDR no detecta por sí solo. No reemplazamos a los proveedores de EDR; hacemos mejor uso de los datos que producen.
¿Pueden reducir nuestra factura de SIEM sin romper las detecciones?
Sí. La optimización de costos de SIEM es una parte estándar del proyecto. Analizamos el volumen de ingesta por fuente, identificamos las fuentes que contribuyen al costo pero no a ningún caso de uso de detección, y recomendamos qué descartar, filtrar o enrutar a almacenamiento más económico. La mayoría de los entornos tienen al menos una fuente de alto volumen que paga la factura sin justificar su lugar.
¿Conservamos el contenido de detección que escriben?
Sí. Todo el contenido de detección se entrega en su lenguaje de consulta nativo y se carga directamente en su SIEM. No hay envoltorio propietario, no hay dependencia externa y no hay ninguna licencia continua de nuestra parte para usar lo que construimos. El contenido es suyo para operarlo, modificarlo y ampliarlo.
Obtenga un SIEM que haga aquello para lo que lo compró.
Una llamada de diagnóstico de 30 minutos, sin compromiso. Conversamos sobre su entorno de SIEM actual y le decimos qué haría falta para llegar a una plataforma de detección en la que de verdad pueda confiar.