En ocasiones, frente a la necesidad de ver o saber que pasa ante algún evento determinado y sobre todo cuando algo no esta funcionando normalmente, ocurre que no podemos determinar donde está el problema, hasta que en el mejor de los casos desaparece solo.
Planteando el tema de esta manera podemos decir que no tenemos suficiente visibilidad de la red.
El crecimiento de las redes y en conjunto de las tecnologías de firewall, IPSs, endpoint security, proxys entre otras, trajo la complejidad de su gestión sumada a la del tratamiento de logs sin olvidarse del aumento de las amenazas.
Hoy día contamos con muchas herramientas de gestión que facilitan nuestra tarea, pero encontrar una herramienta que pueda aportar la información necesaria para resolver la carencia de visibilidad no es tarea fácil.
No importa cuan bueno sea un dispositivo individual, si no es gestionado y sus eventos correlacionados con otros, cada dispositivo puede ser evadido de forma individual, y la capacidad de seguridad total de un sistema no superará el eslabón más débil.
Hasta el momento la solución parece venir de la mano de los sistemas de manejo de información y eventos (SIEM) por sus siglas en ingles, concentradores de logs para el posterior proceso y la correlación de los mismos.
La razón más convincente para buscar una herramienta de SIEM desde el punto de vista operativo es reducir el número eventos de seguridad en un día determinado a una lista manejable, que permita acciones concretas, y para automatizar el análisis de tal manera que tanto ataques reales como intrusos puedan ser identificados rápidamente.
No importa lo bueno que sea un ingeniero de seguridad, no podrá manejar miles de eventos por día el solo.
Pero aún así, nos siguen faltando elementos para llegar a tener real visibilidad de la red, no nos alcanza con tomar logs y correlacionarlos. Debemos ser proactivos y no reactivos, a pesar de funcionar en tiempo real, debemos adelantarnos al los posibles acontecimientos.
Hace ya algún tiempo venimos investigando diferentes tecnologías, y encontramos como resultando que sin dudas la respuesta a la problemática planteada esta dada en plataformas de SIEM tales como OSSIM: http://www.alienvault.com/
OSSIM nos permitirá
