Instalación del Servicio de monitoreo de amenazas mediante un correlacionador de eventos (SIEM) en el ESPE CERT utilizando ITIL V4

Abstract

Con el creciente avance tecnológico que existe en la actualidad, las organizaciones tienen que afrontar múltiples retos. Uno de los retos que ha llamado más la atención de los expertos durante los últimos años, ha sido la ciberseguridad. Con el uso cada vez más frecuente de la tecnología, encontrarse con ciberdelincuentes ya no es algo tan extraño como lo era hace varios años. De hecho, se ha visto una mayor actividad en estos tiempos, tanto que su aumento es preocupante. Es por ello que se han implementado dispositivos de seguridad perimetral para salvaguardar la información de las personas y las organizaciones. Sin embargo, el inconveniente surge cuando cada dispositivo genera su propio log, alerta o alarma y no se tiene una plataforma centralizada en donde se pueda recopilar y visualizar esta información en conjunto. El área del ESPE-CERT presenta esta necesidad, por lo cual, en el presente trabajo de titulación, se planteó la instalación de un servicio de monitoreo mediante un correlacionador de eventos (SIEM), que permita satisfacer las necesidades del negocio, que no interrumpa el funcionamiento de los demás servicios y que sirva como una herramienta de apoyo para los mismos. Para conseguir esto, en primer lugar, se realizó una revisión sistemática de literatura, donde se expusieron trabajos similares; en segundo lugar, se aplicó el proceso marcado por la Information Technology Infrastructure Library (por sus siglas en inglés, ITIL) para gestionar de manera eficiente un servicio de tecnologías de la información (por sus siglas, TI), este desarrollo tiene las actividades: plan, diseño y transición, entrega y soporte, operación y mejora. Al pasar por cada una de ellas y llegar a la entrega y soporte, se pudo observar que el funcionamiento de SIEM Wazuh (herramienta seleccionada) cumplía con los requisitos, recopilaba la información en un nodo central y no afectaba al funcionamiento de los demás servicios del nodo. Finalmente, se desarrollaron las conclusiones y recomendaciones, teniendo en cuenta los resultados observados durante la operación y las mejoras sugeridas por el evaluador.