Underc0de - La Casa de los Informáticos

Los Centros de Operaciones de Seguridad (SOC) enfrentan una creciente presión operativa. El volumen de registros de seguridad (logs) se ha disparado, el panorama de amenazas es cada vez más sofisticado y existe una escasez crítica de profesionales calificados en ciberseguridad. Los analistas deben lidiar diariamente con una avalancha de alertas irrelevantes, herramientas desconectadas y una visibilidad incompleta de los datos. Mientras tanto, más proveedores están eliminando gradualmente sus soluciones SIEM locales, incentivando la transición hacia modelos SaaS que, lejos de resolver los problemas, muchas veces los agravan.

El colapso del SIEM tradicional ante el volumen de registros

Los Sistemas de Gestión de Eventos e Información de Seguridad (SIEM) fueron diseñados para recopilar y correlacionar grandes cantidades de registros. Sin embargo, en infraestructuras modernas —especialmente en entornos híbridos y en la nube— este enfoque se ha convertido en un cuello de botella.

Plataformas como Azure, AWS y redes OT generan telemetría masiva, muchas veces redundante, no estructurada o en formatos no estandarizados. Esto no solo afecta el rendimiento del SIEM, sino que dispara los costos en soluciones SaaS que cobran por evento por segundo (EPS) o flujo por minuto (FPM), aumentando la fatiga del analista y reduciendo la eficiencia del SOC.

Falsos positivos: un enemigo interno

Hasta el 30% del tiempo de un analista de SOC se pierde investigando falsos positivos. La razón principal es la falta de contexto. Los SIEM tradicionales pueden correlacionar eventos, pero no los interpretan. Un inicio de sesión desde una IP anómala puede ser legítimo o un ataque en curso, pero sin datos de comportamiento o líneas base del usuario, el SIEM dispara la alerta sin fundamentos sólidos.

Este ruido innecesario genera cansancio operativo, retrasa la respuesta a incidentes reales y debilita la postura de ciberseguridad de la organización.

SIEM en la nube (SaaS): más complejidad, menos control

La transición hacia SIEM basados en la nube se presenta como una evolución natural, pero en la práctica conlleva nuevas limitaciones críticas:

• Costos variables y difícilmente predecibles debido al modelo de facturación por volumen de datos.
• Falta de paridad funcional con versiones locales: conjuntos de reglas, sensores e integraciones incompletas.
• Problemas de cumplimiento en sectores regulados (banca, industria, sector público) donde la residencia de datos es obligatoria.

Esta combinación de factores pone en jaque la viabilidad del SIEM SaaS para muchos entornos empresariales.

Alternativas modernas: detección basada en comportamiento y análisis de metadatos

En lugar de depender de grandes volúmenes de registros, las plataformas modernas de detección de amenazas priorizan el análisis de metadatos de red y comportamientos anómalos. Tecnologías como:

• Flujos de red (NetFlow, IPFIX)
• Consultas DNS
• Tráfico proxy
• Patrones de autenticación

...pueden revelar amenazas como movimiento lateral, acceso no autorizado a la nube o cuentas comprometidas, sin necesidad de inspeccionar cada carga útil.

Estas plataformas, muchas veces integradas dentro de soluciones NDR (Network Detection and Response), operan sin agentes ni tráfico reflejado, usando machine learning adaptativo en tiempo real. El resultado es:

• Menos falsos positivos
• Alertas más precisas
• Menor carga para los analistas
• Mayor escalabilidad operativa

Hacia un nuevo modelo de SOC: modular, contextual y eficiente

La decadencia de los SIEM tradicionales indica la necesidad de reformular la arquitectura del SOC. En lugar de centralizar toda la visibilidad en un solo punto de recopilación, los SOC modernos son modulares y reparten la detección y el análisis entre diferentes sistemas especializados.

Este enfoque permite:

• Detectar amenazas con mayor precisión usando múltiples vectores de telemetría.
• Desacoplar la detección del volumen de registros, eliminando el costo como limitante de visibilidad.
• Aplicar automatización inteligente para reducir el tiempo de detección y respuesta (MTTD y MTTR).

¿Adiós al SIEM tradicional?

Los SIEM heredados, ya sean on-premise o SaaS, están dejando de ser soluciones efectivas en entornos de ciberseguridad complejos y dinámicos. Hoy, la eficacia del SOC no depende del volumen de datos procesados, sino de:

• La calidad de la telemetría
• La capacidad contextual del análisis
• La automatización basada en inteligencia artificial

Plataformas que priorizan el análisis de metadatos, el modelado de comportamiento y la detección autónoma basada en machine learning ofrecen no solo mayor protección, sino también resiliencia operativa.

En este nuevo paradigma, los SOC del futuro serán más livianos, más rápidos y más inteligentes, dejando atrás el modelo SIEM centrado en registros y adoptando un enfoque independiente, escalable y centrado en amenazas reales.

Fuente: https://thehackernews.com/