Sistemas SIEM open source: ¿pueden realmente competir contra los gigantes de la ciberseguridad?
Elígenos como tu fuente preferida en Google.
Estos sistemas permiten revisar toda la seguridad de un negocio, aunque muchas compañías dudan entre comprar licencias comerciales o desplegar alternativas abiertas.
En las grandes corporaciones, es muy habitual encontrar sistemas propietarios que gestionan automáticamente la seguridad, ya que mantener configuraciones manuales puede resultar un trabajo muy costoso ante la gran magnitud de algunos ataques.
Este tipo de herramientas se conocen como Security Information and Event Management (SIEM) y permiten que los analistas de ciberseguridad no tengan que andar rebuscando entre registros, ya que sería prácticamente imposible para un ser humano a ese nivel.
Pero en pequeñas y medianas empresas, quizá lo más común es que solo exista un ingeniero de software para mantener toda la seguridad del negocio, lo que puede suponer una sobrecarga de trabajo para su puesto, mientras que una solución restrictiva resultaría muy cara.
Afortunadamente, existen algunos sistemas SIEM que son de código abierto y que pueden favorecer un ahorro a largo plazo para el negocio, aunque a cambio tendrá que apostar por un equipo humano que sea capaz de configurar todo bien y revisar las alertas de forma adecuada.
Estos sistemas son imprescindibles para mantener una estrategia de seguridad en el tiempo, ya que son el cerebro de lo que se conocen como Centros de Operaciones de Seguridad (SOC).
Durante los últimos años, con la llegada imparable de la inteligencia artificial, las aplicaciones de código propietario han añadido a esta al análisis, con resultados que podrían dejar a un lado a los SIEM open source. Aunque la batalla sigue estando muy disputada.
Los grandes de la industria contra las opciones open source
Un SIEM básicamente se dedica a recopilar registros –los conocidos como logs– de cualquier apartado que se quiera cubrir, tanto en servidores, bases de datos o servicios en la nube.
Además, convierte estos formatos de datos en un lenguaje común estructurado para que se puedan comparar durante el análisis –parsing–; en la práctica, funciona como el cerebro de todo el sistema de seguridad de cualquier compañía, también con el objetivo de cumplir con normativas importantes, como el Reglamento General de Protección de Datos (RGPD) de la Unión Europea.
Hace algunos años, montar un SIEM requería de una grandísima inversión en infraestructura, con presupuestos que no todos los negocios podían hacer frente, aunque ahora existen alternativas abiertas por las que no hay que pagar ningún tipo de licencia.
Aquí entran en juego algunos de los servicios más importantes que todo equipo defensivo ha de conocer, como es Wazuh, que nació como un fork de OSSEC, y se sitúa como un SIEM común, pero también con funcionalidades de detección y respuesta extendida (XDR).
Este se basa en un sistema centralizado que utiliza diferentes agentes ligeros dedicados para el sistema operativo elegido –macOS, Linux, Windows, etc.–, y se puede integrar de forma nativa con OpenSearch para la visualización de los datos.
En el caso de negocios que ya cuenten con equipos técnicos, esta herramienta es imprescindible, a la que se añade Security Onion, una distro de Linux que directamente reúne varias herramientas de análisis, prevención y respuesta.
A mitad de camino aparecen también servicios SIEM que comparten licencias comerciales con compartidas, como Graylog –la versión open source de este se denomina Graylog Open–, una opción bastante notable para los registros a gran escala.
Ahora bien, en el otro extremo aparecen los gigantes de la ciberseguridad, los que suelen utilizar las compañías multinacionales más importantes alrededor del mundo, como Splunk Enterprise Security (Cisco), Microsoft Sentinel o CrowdStrike Falcon Next-Gen SIEM y Palo Alto Cortex XSIAM.
Mantener este tipo de servicios puede suponer un desembolso anual millonario, por lo que en tal caso los negocios han de considerar muy bien si prefieren código abierto con un equipo humano especializado u optan por realizar una inversión importante en herramientas propietarias.
El coste de las licencias contra el coste de tener un equipo de ingenieros
Como es lógico, gracias a las licencias abiertas de los servicios SIEM de código abierto, el coste inicial de cualquier licencia es el cero absoluto, pero hay pequeños detalles que pueden incrementar notablemente el precio a medio y largo plazo.
Estos servicios SIEM suponen una ruptura de la barrera económica inicial, pero traslada el coste a la infraestructura y, mayormente, al equipo humano de ingeniería, que tendrá que revisar constantemente que todo funcione bien.
Por ejemplo, para mantener infraestructuras de OpenSearch en negocios escalables, hará falta un equipo enorme de ingenieros especializados, cuyos sueldos suelen ser bastante elevados, como es perfectamente comprensible.
En tal caso, el ahorro inicial en las licencias podría acabar plasmándose en el coste del equipo, algo para lo cual tampoco muchas empresas no están preparadas a asumir.
Por su parte, los sistemas propietarios ofrecen ya funcionalidades que las herramientas open source parecen obviar, como es el análisis mediante aprendizaje automático.
En tal caso, plataformas como Splunk o Microsoft Sentinel permiten la integración con los copilotos de inteligencia artificial generativa, con lo cual los equipos de analistas de seguridad pueden realizar directamente consultas mediante lenguaje natural, sin navegar entre un mar de datos, un ahorro evidente en la productividad de los mismos.
Aquí también entra en juego el tiempo de implementación del servicio que se haya preferido, con un coste mucho más elevado de las herramientas open source, ya que los especialistas tendrán que realizar configuraciones avanzadas.
Entonces, ¿pueden los sistemas SIEM competir contra los gigantes del mundo de la ciberseguridad? La respuesta corta es que sí, y además de forma magistral si se quiere establecer un sistema de defensa automatizado a largo plazo, siempre y cuando exista revisión humana detrás.
Sin embargo, para las grandes tecnológicas lo mejor es apostar por una solución que integre ya este tipo de herramientas para grandes volúmenes de datos que requieran de resultados inmediatos.
Sea como sea, en muchos casos se adopta un enfoque híbrido que reúne a los 2 tipos; en su primera fase, con los servicios open source para los registros y el SIEM comercial como analista avanzado y capacidades de inteligencia artificial.
En definitiva, la respuesta es clara: elegir entre apostar por licencias comerciales o por equipos de seres humanos especializados. Una decisión que puede marcar el futuro de la seguridad de una compañía.