Centro de operaciones de seguridad — detectar y gestionar ataques para una pequeña empresa (laboratorio)
Una cadena completa de vigilancia de seguridad —detectar un ataque, abrir un caso, investigar— construida con herramientas gratuitas para un cliente ficticio.
La necesidad
Una red de centros auditivos (un cliente ficticio de un encargo académico) quiere externalizar la vigilancia de su seguridad sin disparar los costes.
La idea
La mayoría de los laboratorios se quedan en la alerta. El verdadero valor está en lo que viene después: clasificar, investigar, reunir pruebas.
Lo que construí
- Detección en los equipos de trabajo y en la red, detrás de un cortafuegos.
- Registros reunidos en un solo lugar a través de un túnel cifrado.
- Un script escrito por mí que convierte automáticamente cada alerta grave en un caso que investigar.
- Herramientas de investigación para discos y memoria, y un informe de seguridad generado cada día.
El resultado
- 6componentes conectados de principio a fin
- 7:00informe de seguridad diario, enviado automáticamente
- 100 %herramientas de código abierto
- Laboratorionunca en producción, dicho con claridad
La cadena funciona en el laboratorio, de la detección a la investigación. Se quedó en laboratorio: no hay métricas operativas que mostrar, y prefiero decirlo.
En imágenes
Lo que aprendí
El código abierto se eligió por coste y control, y tiene un precio: las integraciones se programan a mano y las reglas de detección se ajustan una a una. Una suite comercial lo habría hecho en tres clics… y me habría enseñado tres veces menos.
Detalles técnicos Tecnologías, arquitectura y decisiones, para lectores técnicos
Tecnologías
- Wazuh
- Suricata
- pfSense
- Logstash
- Elasticsearch
- ElastAlert
- TheHive
- Cortex
- AlienVault OTX
- Autopsy
- Volatility
- Python
Cómo funciona
- Proyecto individual del máster en Ciberseguridad de Sup de Vinci (2023–2024), cliente ficticio AudioProthèse+; encargo alineado con ISO/IEC 27001 y el RGPD.
- SIEM: agentes Wazuh en los equipos, envío por VPN, canalización Logstash → Elasticsearch y panel central.
- IDS/IPS: Suricata detrás de un cortafuegos pfSense, conjuntos de reglas ET Open y Snort GPLv2, y fuente de reputación de IP de AlienVault OTX.
- SOAR: TheHive, conectado a Wazuh mediante un script Python sobre su API REST que convierte en caso cada alerta de Wazuh o Suricata por encima de un umbral de gravedad; Cortex para el enriquecimiento.
- Análisis forense con Autopsy (disco) y Volatility (memoria); un informe diario generado y enviado a las 7:00.
Lo que aún falta
- Solo laboratorio: nunca en producción
- Sin métricas operativas