Casi nadie detecta un incidente por sí mismo: se entera cuando un cliente le avisa, cuando aparece el mensaje de rescate o cuando alguien de fuera se lo dice. La diferencia entre un susto y una crisis está en cuánto tarda en enterarse, y eso solo se acorta con telemetría que alguien mira.
Un SIEM no es comprar una licencia
Es la instalación más frecuente que nos encontramos: la herramienta está comprada, recoge registros de la mitad de los sistemas, nadie ha escrito una regla que no viniera de fábrica y las alertas se ignoran porque el 95 % son ruido. Eso no es detección: es una factura mensual.
Fase 1
Qué registrar
No todo, y no cualquier cosa. Se eligen las fuentes que cubren las técnicas de ataque que de verdad le afectan, empezando por identidad, endpoint y perímetro.
Fase 2
Qué detectar
Reglas escritas para su entorno y mapeadas sobre MITRE ATT&CK, con la cobertura documentada: qué ve y qué no.
Fase 3
Qué hacer
Cada alerta con su manual de respuesta. Una alerta sin procedimiento asociado acaba cerrándose sin investigar.
Alcance del trabajo
Diseño de la arquitectura de recolección y dimensionamiento realista del volumen, que es lo que determina el coste.
Integración de fuentes: directorio, endpoint, red, cloud, correo, aplicaciones críticas y dispositivos de seguridad.
Ingeniería de detección: reglas propias, afinado de las existentes y reducción del ruido hasta que las alertas se puedan atender de verdad.
Manuales de respuesta por tipo de alerta, con pasos concretos y criterios de escalado.
Cobertura MITRE ATT&CK documentada, para saber dónde están los huecos.
Validación: lanzamos las técnicas reales y comprobamos si saltan. Una detección que no se ha probado no existe.
Cómo trabajamos
1
Diagnóstico
Qué tiene, qué recoge y qué ve realmente hoy. Si ya tiene SIEM, muchas veces el proyecto es afinarlo, no sustituirlo.
2
Modelo de amenazas
Qué ataques son plausibles contra su organización. De ahí salen las fuentes y las reglas, no de un catálogo genérico.
3
Integración por fases
Primero las fuentes de mayor valor por coste. Se empieza a detectar desde las primeras semanas, no al final del proyecto.
4
Ingeniería de detección
Escritura y afinado de reglas, con reducción activa de falsos positivos.
5
Validación ofensiva
Nuestro equipo ofensivo ejecuta las técnicas y comprobamos qué salta y qué no. Esto es lo que casi nadie hace.
6
Transferencia
Formación de su equipo y documentación para que pueda mantenerlo sin depender de nosotros.
Qué recibe
Arquitectura documentada de recolección y retención, con el dimensionamiento y su coste.
Catálogo de reglas propias, con su justificación y su mapeo ATT&CK.
Manuales de respuesta por tipo de alerta.
Informe de cobertura: qué técnicas detecta, cuáles no y cuál es el siguiente hueco a cerrar.
Resultado de la validación con las pruebas ofensivas ejecutadas.
Formación del equipo que lo va a operar.
Quién lo ejecuta. El mismo equipo que audita, no un perfil comercial. En gobierno, riesgo y cumplimiento: CISSP, CISM, ISO 27001 Lead Auditor, ENS y Análisis de Riesgos (CCN), DPD/DPO certificado, CCSP y CDPP (ISMS Forum) y PMP (PMI). En la parte técnica: OSCP, CRTO II y eWPTX, con presencia en el Top 1 % de la plataforma Atenea del CCN-CERT.
Si parte de cero: Master SOC on BOX
Un SOC convencional pide varios servidores, licencias que se pagan por volumen de datos y gente que lo mantenga. Para una organización mediana eso casi nunca sale a cuenta, y es la razón por la que tantas llevan años sin ninguna capacidad de detección. Master SOC on BOX es nuestra respuesta a ese caso concreto: un centro de operaciones de seguridad completo condensado en una infraestructura reducida, con las funciones críticas de uno convencional y una fracción de su coste de instalación y de operación.
Está construido sobre componentes abiertos, así que no hay licencia que venderle. Seguimos sin tener incentivo para empujarle hacia una plataforma concreta: si lo que le conviene es afinar el SIEM comercial que ya tiene, se lo diremos.
Recolección
Pila Elastic
Elasticsearch, Logstash y Kibana para ingerir, normalizar, correlacionar y consultar. Es el registro de actividad que después hay que poder enseñarle a un auditor.
Host
Wazuh
Detección de intrusiones en el endpoint, integridad de ficheros y respuesta activa. Es donde se ve lo que un atacante hace una vez dentro.
Red
Suricata
Monitorización del tráfico y detección en red. Cubre lo que el endpoint no ve: movimiento lateral, mando y control, exfiltración.
Alertado
ElastAlert
Reglas propias sobre los datos ya correlacionados, con su manual de respuesta asociado. Sin esto, un SIEM es un almacén de registros.
Se integra además con la protección avanzada de endpoint que ya tenga desplegada, sea del fabricante que sea, de modo que sus alertas entran en el mismo flujo y se investigan junto al resto de la telemetría, no en una consola aparte.
Qué cumplimiento le resuelve
El Esquema Nacional de Seguridad no pide «un SIEM»: pide capacidades concretas, y sin una plataforma de recolección y correlación no hay forma de acreditarlas. Master SOC on BOX está dimensionado para cubrir esas medidas hasta nivel Medio.
op.exp.8
Registro de la actividad. Quién, cuándo, qué tipo de evento y con qué resultado, con retención acreditable y protegido frente a manipulación.
op.exp.9
Registro de la gestión de incidentes. La traza que sostiene el reporte inicial, los intermedios y el final, y las actuaciones derivadas de cada uno.
op.mon.1
Detección de intrusión. Herramientas de detección en host y en red. En nivel Medio el refuerzo exige detección basada en reglas, que es exactamente el trabajo de ingeniería que acompaña a la instalación.
op.mon.2
Sistema de métricas. Los cuadros de mando salen de los mismos datos, sin hojas de cálculo paralelas que nadie actualiza.
op.mon.3
Vigilancia. El sistema automático de recolección de eventos de seguridad que la medida exige literalmente.
La misma plataforma sostiene lo que piden otras normas, porque el problema de fondo es el mismo en todas: NIS2, que obliga a un aviso temprano en 24 horas y no permite notificar lo que no se ha detectado; DORA, con su registro y clasificación de incidentes; ISO/IEC 27001, controles 8.15 y 8.16 de registro y monitorización; y el artículo 33 del RGPD, cuyas 72 horas empiezan a contar desde que usted tiene constancia de la brecha.
Véalo funcionando
No hace falta que se fíe de la descripción. Publicamos el montaje completo y una demostración práctica, con la consola real y las alertas saltando.
Parte 1 · Vídeo
Implementación y puesta en marcha
Cómo se monta el servicio SIEM/SOC pieza a pieza sobre la infraestructura reducida.
El detalle técnico está en el blog: Master SOC on BOX, parte 1 y parte 2. Los vídeos se abren en YouTube: no los incrustamos aquí para no meter rastreadores de terceros en esta web.
Qué incluye y qué no
Un servicio que no dice dónde termina acaba generando más fricción de la que resuelve. Esto es lo que entra en el despliegue y lo que se presupuesta por separado.
Incluido en el despliegue
Toma de datos y dimensionado
El volumen de eventos, la retención de registros y el tamaño del despliegue se fijan antes de montar nada, contra la normativa que le aplique y contra su parque real. No publicamos cifras aquí porque cualquier número sería falso para la mitad de los casos.
Appliance o máquina virtual
Se entrega como equipo físico precargado o como máquina virtual sobre su propia virtualización. Elige usted, en función de lo que ya tenga montado y de sus requisitos de aislamiento.
Montaje e ingeniería de reglas
Instalación, integración de fuentes, correlación y reglas de detección afinadas contra su entorno, cada una con su manual de respuesta. Es exactamente el trabajo que separa un SIEM de un almacén de registros.
Integración con su protección de endpoint
Las alertas de la protección avanzada que ya tenga desplegada entran en el mismo flujo y se investigan junto al resto de la telemetría, sea del fabricante que sea.
Documentación para auditoría
La traza y los cuadros de mando que hay que poner delante de un auditor del ENS, de ISO 27001 o de NIS2, salidos de los mismos datos y no de una hoja de cálculo paralela.
Fuera del despliegue
Vigilancia continuada
La plataforma se entrega funcionando y afinada, pero no lleva a nadie mirándola. Lo habitual es contratar aparte una revisión periódica con entrega de informes —mensuales, trimestrales o la cadencia que acordemos— en modelo de bolsa de horas.
Respuesta a incidentes y forense
Detectar no es contener, ni erradicar, ni peritar. El DFIR es un servicio distinto, con su propio alcance.
Licencias de terceros
Los componentes de la plataforma son abiertos y no hay licencia que venderle. Su antivirus, su EDR o cualquier producto comercial que ya use siguen siendo suyos.
Bastionado y remediación
El SOC le dice qué está mal y con qué prioridad. Aplicar los parches y corregir las configuraciones es otro trabajo.
Certificación
La plataforma acredita medidas concretas del Anexo II, pero no sustituye a la entidad de certificación ni a la consultoría de cumplimiento.
Nada de lo anterior es un «no»: todo se puede hacer, presupuestado aparte y con su propio alcance, para que usted sepa en cada momento qué está pagando. El coste del despliegue depende de lo que salga de la toma de datos, así que no hay tarifa publicada ni periodo de prueba: hay una conversación técnica primero, y un presupuesto después.
Preguntas que nos hacen
¿Con qué herramienta trabajan?
Con la que tenga o con la que le convenga. No revendemos licencias, así que no tenemos incentivo para empujarle a una plataforma concreta. Si su presupuesto no da para una solución comercial, hay alternativas abiertas que funcionan bien con el trabajo de ingeniería adecuado.
¿Operan ustedes el SOC?
Podemos acompañarle en la operación y en la guardia bajo un acuerdo de servicio, pero nuestro trabajo natural es dejarle la capacidad montada y transferida. Si lo que busca es externalizar la vigilancia por completo, se lo decimos antes de empezar.
Tenemos un SIEM que no usamos. ¿Empezamos de cero?
Casi nunca hace falta. Lo habitual es que el problema sea de fuentes incompletas y reglas de fábrica, no de producto. Empezamos por medir la cobertura real y decidir con datos.
¿Sirve para NIS2 o para el ENS?
Sí. Ambos exigen capacidad de detección, registro y notificación en plazo. Sin telemetría no se puede notificar en 24 horas lo que no se ha detectado.
Mida qué ve hoy antes de comprar nada
Media hora con un auditor para revisar su capacidad de detección actual y decidir si necesita más herramienta o mejor ingeniería.
Teléfono: +34 686 250 244 (L-V, 9:00 a 18:00) · Email: info@jaymonsecurity.com
Respondemos en 2 horas dentro del horario laboral.
