Nos han dado presupuesto para 'SIEM gestionado' y 'MDR': ¿cuál es la diferencia y cuál le conviene a una empresa de 12 personas?

Desde el punto de vista técnico, el SIEM se basa en datos, mientras que el MDR se centra en procesos y comportamientos. El SIEM pasa los registros de eventos procedentes de distintas fuentes por un motor de correlación. El MDR, en cambio, detecta actividades sospechosas como la inyección en memoria o la escalada de privilegios mediante sensores que bajan hasta el kernel del sistema operativo. Si no tienen obligación de retención de logs, el MDR va directo al grano.

El año pasado estuvimos en un dilema similar para nuestro equipo de 18 personas. Para el SIEM se contemplaban 2.100 dólares al mes más costes por exceso de volumen de logs. En la parte de MDR cerramos en 1.100 dólares mensuales para 22 endpoints. En los primeros seis meses, el proveedor resolvió los 14 casos sospechosos generados sin despertar a nuestro equipo.

Revisen el acuerdo de confidencialidad o de auditoría que tienen con su cliente. Si en el pliego de condiciones no hay explícitamente una cláusula regulatoria como "Todos los registros del sistema deben conservarse en un SIEM durante al menos 1 año", no se metan en un SIEM. Hagan directamente un contrato de MDR y quítense de líos.

Algunas empresas que venden MDR en realidad ponen a dos becarios frente a un panel de antivirus y te mandan un correo cuando salta una alerta. Revisa el SLA de la oferta: ¿cuántos minutos tienen de tiempo de respuesta y tienen la autoridad de aislar el equipo de la red al momento de la amenaza o se quedan esperando tu aprobación?

si compras siem tus desarrolladores se van a cansar de las alarmas a las pocas semanas y van a silenciar las notificaciones. la verdad luego al primer incidente real nadie se entera de nada. vete por mdr y déjaselo a los que saben, digo yo.

Nota: esto es mi experiencia, puede no aplicar a todos.

¿Su cliente exige este monitoreo bajo algún estándar tipo SOC 2 o ISO 27001 para alguna auditoría? De ser así, ¿ya solicitó con anticipación la certificación SOC 2 Type 2 de su proveedor de MDR y los formatos de reporte mensual de respuesta a incidentes que se presentarán al auditor?

Recomendamos incluir los tiempos de respuesta (MTTD y MTTR) del acuerdo de nivel de servicio directamente como cláusula contractual. La diferencia entre el tiempo de detección y el tiempo de actuación afecta directamente su responsabilidad legal en momentos de crisis.

oigan, y si contratamos MDR ¿hace falta instalar el típico antivirus clásico en las laptops de los empleados o esos mismos agentes hacen las dos cosas solos?

estoy en la misma situación, por eso pregunto. todos los que se apresuran con SIEM gestionado y MDR se atascan en el mismo punto.

tabién me gustaría saber si alguien lo hace de otra manera.

Lo probaré. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Comprobado por experiencia.

Aquí hay que hacer una distinción. La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

Me quedé tranquilo al leer esta respuesta, así que no solo me pasa a mí. No tengáis miedo de preguntar, quien no pregunta siempre paga más caro.

También me gustaría saber si alguien lo hace de otra manera.

Separemos los conceptos, se están confundiendo. Los primeros tres meses todo va bien los problemas aparecen en el cuarto.

Corrijanme si me equivoco.

Yo no me apresuraría. Intentar hacerlo solo es la vía más cara.

No tengáis miedo de preguntar, quien no pregunta siempre paga más caro. Si escribís el resultado aquí, también servirá de ayuda a otros.

Dejo una advertencia. No tengáis miedo de preguntar, quien no pregunta siempre paga más caro.

Os explico cómo se hace en la práctica. La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

El error cometido por SIEM gestionado y MDR suele ser reversible, pero caro. También me gustaría saber si alguien lo hace de otra manera.

Correcto.

El punto que más se pasa por alto sobre SIEM gestionado y MDR es este: Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Intentar hacerlo solo es la vía más cara. Espero que le sea útil.