Conceptos clave de ciberseguridad y su interrelación

Este documento explica los principales conceptos relacionados con la detección, respuesta y compartición de inteligencia sobre amenazas en ciberseguridad, y cómo encajan unos con otros dentro de un ecosistema de defensa.

1. SOC (Security Operations Center)

El Centro de Operaciones de Seguridad es el equipo (y la infraestructura) encargado de monitorizar, detectar, analizar y responder a incidentes de seguridad de forma continua (24/7 en organizaciones maduras).

Es el "puesto de mando" donde convergen todas las demás herramientas y procesos. Un SOC típico se organiza en niveles (L1 triaje, L2 investigación, L3 caza de amenazas e ingeniería).

2. CERT (Computer Emergency Response Team)

También conocido como CSIRT (Computer Security Incident Response Team). Es un equipo especializado en gestionar incidentes graves: contención, erradicación, recuperación y lecciones aprendidas.

Diferencia con el SOC:
- El SOC vigila de forma continua y detecta.
- El CERT actúa cuando se confirma un incidente serio, coordina la respuesta y suele tener alcance más amplio (sectorial o nacional, como INCIBE-CERT en España o US-CERT en EE.UU.).

En muchas organizaciones, el CERT es una función dentro del SOC o trabaja estrechamente con él.

3. SIEM (Security Information and Event Management)

Plataforma que centraliza, correlaciona y analiza logs y eventos procedentes de múltiples fuentes: firewalls, servidores, endpoints, aplicaciones, IDS/IPS, etc.

Funciones principales:
- Recolección y normalización de logs.
- Correlación de eventos mediante reglas.
- Generación de alertas para el SOC.
- Almacenamiento para cumplimiento normativo y análisis forense.

Ejemplos: Splunk, QRadar, Microsoft Sentinel, Elastic Security.

El SIEM es la herramienta principal del analista L1/L2 del SOC.

4. EDR (Endpoint Detection and Response)

Solución instalada en los endpoints (portátiles, servidores, estaciones de trabajo) que monitoriza su comportamiento en tiempo real, detecta actividad maliciosa y permite responder (aislar el equipo, matar procesos, recoger evidencias).

Va mucho más allá de un antivirus tradicional porque:
- Registra telemetría detallada (procesos, conexiones, ficheros, registro).
- Detecta técnicas y tácticas (mapeadas a MITRE ATT&CK), no solo firmas.
- Permite respuesta remota desde la consola.

Ejemplos: CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint.

Su evolución natural es el XDR (Extended Detection and Response), que correlaciona telemetría de endpoints, red, identidad y cloud.

5. IDS / IPS (Intrusion Detection / Prevention System)

Ambos analizan tráfico de red buscando actividad sospechosa o maliciosa.

Tipos según ámbito:
- NIDS/NIPS: a nivel de red.
- HIDS/HIPS: a nivel de host (hoy mayormente absorbidos por el EDR).

Las alertas de IDS/IPS suelen ser enviadas al SIEM para correlación y al SOC para análisis.

6. IOC (Indicator of Compromise)

Un Indicador de Compromiso es una pieza de evidencia (un "rastro") que sugiere que un sistema ha sido comprometido. Ejemplos típicos:

• Hashes (MD5, SHA-256) de ficheros maliciosos.
• Direcciones IP o dominios de servidores C2 (command & control).
• URLs, rutas de archivos, claves de registro.
• Nombres de procesos o argumentos sospechosos.

Los IOC son observables atómicos. Por encima de ellos se sitúan los TTPs (Tácticas, Técnicas y Procedimientos), más estratégicos y difíciles de evadir para el atacante (concepto de la Pyramid of Pain de David Bianco).

Los IOC son la "moneda" que se intercambia entre organizaciones para alertarse mutuamente sobre amenazas.

7. STIX (Structured Threat Information Expression)

Lenguaje estandarizado (basado en JSON) para describir información de inteligencia de amenazas (CTI). Permite expresar de forma estructurada:

• Indicadores (IOC).
• Actores de amenaza, campañas, malware, herramientas.
• Tácticas, técnicas y procedimientos (TTPs).
• Relaciones entre todos estos elementos.

Mantenido por OASIS. Versión actual: STIX 2.1.

8. TAXII (Trusted Automated Exchange of Intelligence Information)

Es el protocolo de transporte (API sobre HTTPS) para compartir información STIX entre organizaciones, plataformas y feeds.

• STIX = qué se comparte (el formato).
• TAXII = cómo se comparte (el canal).

Se organiza en collections y channels a los que los clientes pueden suscribirse para descargar o publicar inteligencia.

Cómo se relacionan todos estos conceptos

El flujo típico en una organización con un programa de seguridad maduro es el siguiente:

        ┌──────────────────────────────────────────────┐
        │        Comunidad / Proveedores de CTI        │
        │   (CERTs nacionales, ISACs, vendors, OSINT)  │
        └──────────────────────────────────────────────┘
                            │
                  STIX (formato) + TAXII (transporte)
                            │
                            ▼
        ┌──────────────────────────────────────────────┐
        │     Plataforma TIP / Feeds de IOC y TTPs     │
        └──────────────────────────────────────────────┘
                            │
                 Distribución de IOCs y reglas
                            │
            ┌───────────────┼────────────────┐
            ▼               ▼                ▼
        ┌───────┐      ┌─────────┐      ┌────────┐
        │  EDR  │      │ IDS/IPS │      │Firewall│
        │(host) │      │  (red)  │      │  etc.  │
        └───┬───┘      └────┬────┘      └───┬────┘
            │ logs/alertas  │ alertas       │ logs
            └───────────────┼────────────────┘
                            ▼
                    ┌───────────────┐
                    │     SIEM      │  ← correlación
                    └───────┬───────┘
                            │ alertas priorizadas
                            ▼
                    ┌───────────────┐
                    │      SOC      │  ← analistas L1/L2/L3
                    └───────┬───────┘
                            │ incidente confirmado
                            ▼
                    ┌───────────────┐
                    │   CERT/CSIRT  │  ← respuesta y coordinación
                    └───────┬───────┘
                            │
                  retroalimentación (nuevos IOCs/TTPs)
                            │
                            ▼
                  Comunidad / Proveedores de CTI

Resumen del ciclo

1. La inteligencia de amenazas llega desde fuera en formato STIX vía TAXII, conteniendo IOCs y TTPs.
2. Esos IOCs se cargan en herramientas de detección: EDR (endpoints), IDS/IPS (red), firewalls, proxies.
3. Estas herramientas generan logs y alertas que se envían al SIEM.
4. El SIEM correlaciona y prioriza, lanzando alertas al SOC.
5. El SOC investiga; si confirma un incidente grave, lo escala al CERT/CSIRT.
6. El CERT contiene, erradica, recupera y genera nueva inteligencia (IOCs y TTPs observados) que se comparte de vuelta con la comunidad por STIX/TAXII, cerrando el ciclo.

Tabla resumen

Conclusión

Estos conceptos no son piezas aisladas, sino capas de un mismo sistema defensivo:

• STIX/TAXII alimentan a las organizaciones con IOCs.
• Los IOCs se despliegan en EDR, IDS/IPS y otros sensores.
• Sus alertas llegan al SIEM, que las correlaciona.
• El SOC las analiza y, cuando hace falta, el CERT gestiona el incidente.
• La experiencia generada vuelve a la comunidad como nueva inteligencia.

Entender este flujo es clave para comprender cómo funciona la defensa ciberseguridad moderna basada en inteligencia, automatización y respuesta coordinada.