8 Min. Tiempo de lectura<\/p>\n
Los contratos de SIEM de los grandes proveedores se renegociar\u00e1n en los pr\u00f3ximos dos a\u00f1os en muchos equipos de seguridad DACH. Quien aprovecha la fecha de renovaci\u00f3n no solo busca un proveedor m\u00e1s barato, sino tambi\u00e9n una arquitectura que no implique un bloqueo de proveedor. Wazuh, Sigma y Shuffle no son una pila de marketing, sino una opci\u00f3n seria, siempre y cuando el equipo exponga honestamente las compensaciones.<\/strong><\/p>\n Lo m\u00e1s importante en resumen<\/p>\n Relacionado<\/span>Auditor\u00eda NIS2: La lista de proveedores se rompe en 2 horas<\/a> \/<\/span> MFA adaptable: La presi\u00f3n de NIS2 como palanca<\/p>\n Las renovaciones de SIEM en empresas medianas y grandes de DACH han seguido un patr\u00f3n en los \u00faltimos 18 meses. Los costos de licencia aumentan dos d\u00edgitos, los l\u00edmites de EPS se vuelven m\u00e1s estrictos, el volumen de registro crece m\u00e1s r\u00e1pido que el presupuesto debido a las cargas de trabajo en la nube. Quien firm\u00f3 un contrato en 2018, paga a menudo el doble en 2026 por la misma arquitectura nominal.<\/p>\n El bloqueo de proveedor no es solo una cuesti\u00f3n de costos. Quien ha mantenido 2.000 reglas de detecci\u00f3n en un lenguaje de consulta propietario no puede cambiar sin fricci\u00f3n. Eso hace que la ingenier\u00eda de detecci\u00f3n sea una disciplina que debe estar anclada en el modelo operativo, y no en un contrato de proveedor. Quien pospone esto, paga en la renovaci\u00f3n el descuido de tres a\u00f1os.<\/p>\n La nube h\u00edbrida no es un patr\u00f3n de arquitectura, sino la consecuencia de que dos equipos no se han comunicado a tiempo. El bloqueo de proveedor en SIEM es la consecuencia de que nadie trata las reglas de detecci\u00f3n como un activo independiente.<\/p>\n La pila de c\u00f3digo abierto discutida aqu\u00ed consta de cuatro componentes que cubren diferentes funciones. Est\u00e1n dise\u00f1ados para trabajar juntos, pero no son una plataforma integrada en el sentido de un SIEM comercial. Precisamente eso es su fortaleza y, al mismo tiempo, su obst\u00e1culo.<\/p>\n Wazuh<\/strong> constituye la plataforma de detecci\u00f3n. Combina la funcionalidad de HIDS, an\u00e1lisis de registros y generaci\u00f3n de informes de cumplimiento en base a Elasticsearch y proporciona una interfaz web para la clasificaci\u00f3n de alertas. Sigma<\/strong> es el est\u00e1ndar de reglas de detecci\u00f3n, formulado de manera independiente de la plataforma, que se puede traducir en reglas de Wazuh, reglas de detecci\u00f3n de Elastic o consultas de Splunk. Shuffle<\/strong> es el componente SOAR que orquesta los flujos de trabajo entre detecci\u00f3n, enriquecimiento y respuesta. DFIR-IRIS<\/strong> es la herramienta de gesti\u00f3n de casos para flujos de trabajo de respuesta a incidentes.<\/p>\n Quien escuche la palabra \u00abcapacidad de inteligencia artificial ag\u00e9ntica\u00bb debe ser cauteloso. Los componentes tienen puntos de integraci\u00f3n para el enriquecimiento basado en LLM, pero eso no convierte la pila en una plataforma de seguridad aut\u00f3noma. Quien utilice agentes de inteligencia artificial en flujos de trabajo de Shuffle tambi\u00e9n asume la responsabilidad de la \u00abalucinaci\u00f3n\u00bb que conlleva cada agente. Quien trate las claves KMS como un men\u00fa desplegable, o no ha experimentado una auditor\u00eda o no ha tenido una buena. Lo mismo se aplica a los agentes de inteligencia artificial en la canalizaci\u00f3n de detecci\u00f3n.<\/p>\n La comparaci\u00f3n honesta entre un SIEM comercial y una pila de c\u00f3digo abierto centrada en Wazuh tiene compensaciones claras que faltan en la mayor\u00eda de las presentaciones de marketing. Quien presente la tabla antes de la fecha de renovaci\u00f3n obtendr\u00e1 al menos una base para la discusi\u00f3n.<\/p>\n\n
Por qu\u00e9 el bloqueo de proveedor en el mercado de SIEM se convierte en un riesgo operativo<\/h2>\n
La pila en resumen: Wazuh, Sigma, Shuffle, DFIR-IRIS<\/h2>\n
Ventajas y desventajas en la tabla honesta<\/h2>\n