Sophos Next-Gen SIEM: ¿cuándo no bastan XDR o MDR?

Un acceso sospechoso se descubre meses después. Ahora el equipo de TI debe averiguar qué cuentas intervinieron, a qué sistemas se accedió y si los eventos están relacionados. Un panel claro sirve de poco si los datos relevantes ya se han eliminado o nunca llegaron.

Sophos Next-Gen SIEM amplía XDR y MDR con ingesta adicional de datos, análisis y periodos de retención más largos. Puede cubrir una carencia real. Pero también puede convertirse en otra licencia para almacenar datos cuya utilidad nadie ha definido previamente.

¿Qué es un SIEM y qué añade este producto?

SIEM significa Security Information and Event Management. Un SIEM recopila registros de eventos, o logs, de distintos sistemas de TI en un lugar central. Entre ellos figuran, por ejemplo, los inicios de sesión en Microsoft Entra ID, las conexiones en el firewall, las alertas de la protección de Endpoint y los cambios en servidores o aplicaciones. Un log registra qué ocurrió, cuándo y en qué sistema, y qué cuenta o dispositivo intervino.

Recopilar datos y hacerlos comprensibles

Cada producto registra los eventos de forma distinta. Un firewall describe una conexión mediante la dirección de origen, el destino y la acción; un servicio de identidad registra, por ejemplo, el usuario, la hora del inicio de sesión y el resultado. El SIEM ingiere los datos proporcionados y asigna los campos relevantes a un esquema común. Esta normalización permite buscar conjuntamente eventos de distintas fuentes. Solo funciona si la información necesaria está presente en el log original.

Detectar relaciones e investigarlas

La verdadera utilidad aparece cuando se pueden relacionar eventos individuales. Por ejemplo, tras varios intentos de inicio de sesión fallidos se produce un inicio de sesión correcto de la misma cuenta. Poco después, esa cuenta recibe permisos adicionales y accede a un servidor. Cada evento por separado puede tener una explicación; la secuencia merece una investigación.

Las reglas de detección y las correlaciones pueden destacar estas combinaciones y generar alertas. Los analistas comprueban después si se trata de un ataque, una conducta indebida o una actividad legítima. Para ello buscan en los datos, filtran por cuentas o dispositivos y reconstruyen la secuencia temporal. Hay que evaluar los falsos positivos y adaptar las reglas al entorno. Un SIEM no comprende automáticamente todas las operaciones de negocio.

Conservar, analizar y responder

Los logs almacenados también ayudan cuando una sospecha surge más tarde. Los informes muestran, por ejemplo, patrones de inicio de sesión, cambios en permisos o carencias en las fuentes conectadas. Hasta dónde puede remontarse una investigación depende de los datos realmente recopilados y de su retención.

Una alerta, por sí sola, no detiene un ataque. Bloquear una cuenta o aislar un dispositivo requiere una integración de respuesta adecuada, permisos y un procedimiento definido. Las respuestas automatizadas son posibles si la solución utilizada y los sistemas conectados las admiten y se han configurado. De lo contrario, debe intervenir la persona responsable.

Dónde encaja Sophos Next-Gen SIEM

Sophos integra estas funciones en Sophos Fusion, anteriormente Sophos Central. Las fuentes, los análisis y las respuestas disponibles dependen de los productos contratados y de las integraciones configuradas.

XDR conecta datos de seguridad para la detección y la investigación. MDR añade un servicio gestionado con analistas y prestaciones de respuesta acordadas. Next-Gen SIEM amplía la base de datos y su utilidad durante periodos más largos. Tener XDR no supone disponer de un servicio de analistas que trabaje las veinticuatro horas; tener MDR no implica que una licencia SIEM añada automáticamente cualquier análisis imaginable como nueva prestación del servicio.

La explicación técnica en nuestra KB ayuda a planificar. Antes de comprar, conviene definir una pregunta concreta que el alcance actual de XDR/MDR no permita responder de forma fiable.

¿Cuándo resulta útil conservar más datos?

Un ejemplo son los incidentes de identidad ocurridos hace tiempo. Pueden necesitarse registros de inicio de sesión, cambios de permisos y los eventos correspondientes del firewall. Para ello, las tres fuentes deben estar conectadas, proporcionar los campos necesarios y conservarse durante el periodo relevante. Un año más de telemetría de Endpoint no sustituye los eventos de inicio de sesión que faltan.

Un segundo caso de uso consiste en aportar evidencias a auditores internos o clientes. Los análisis predefinidos pueden ayudar a presentar los eventos y la cobertura de forma comprensible. Sin embargo, un panel de cumplimiento no expide una certificación ni satisface automáticamente una normativa. La organización debe determinar qué datos necesita y durante cuánto tiempo, y comprobar que se ajustan a sus requisitos.

Por eso empezaría con dos o tres preguntas de investigación reales. Por ejemplo: ¿se pueden reconstruir los accesos anteriores de un proveedor que ya no trabaja para la empresa? ¿Se pueden mostrar los cambios en cuentas privilegiadas durante el periodo necesario? De ahí se derivan las fuentes, los campos, la retención y los costes.

¿Qué significa «hasta diez años»?

La documentación técnica de administración del 1 de octubre de 2026 indica 13 meses de retención estándar y ampliaciones a tres, cinco, siete o diez años. En cambio, la página actual del producto de Sophos indica un año. A fecha de revisión del 28 de octubre, esta discrepancia no está claramente explicada. Para la valoración técnica tomamos como referencia los 13 meses de la documentación de administración específica del producto; aun así, el plazo vinculante para el tenant propio y los datos necesarios debe confirmarse en la oferta.

«Hasta diez años» no describe un alcance básico incluido de forma general. Nuestra KB sobre planificación de la retención distingue las indicaciones del fabricante, la conservación contratada y su comprobación posterior. Si se necesitan más de doce meses de historial, conviene aclarar expresamente el tiempo adicional antes de comprar.

Igualmente importante: una fuente configurada hoy no proporciona automáticamente los eventos históricos que faltan. Para el periodo investigado, lo que cuenta es desde cuándo se recopilaron realmente los datos. En una migración hay que aclarar qué ocurre con los logs anteriores y durante cuánto tiempo seguirán siendo accesibles.

Además, la retención no equivale a la recuperación. Un SIEM no sustituye una copia de seguridad de los datos de negocio. Incluso después de un incidente bien documentado, se necesitan copias de seguridad operativas para volver a poner en funcionamiento las aplicaciones afectadas.

¿Cómo se incorporan los eventos adecuados?

Sophos ofrece integraciones de productos y opciones para fuentes de datos propias. Sin embargo, que una fuente aparezca en el catálogo no significa que la categoría de eventos deseada llegue al tenant. La licencia, el acceso a la interfaz, el conector y los campos realmente entregados deben encajar. Nuestra guía de integraciones de MDR/XDR describe las comprobaciones operativas.

En una aplicación propia, por ejemplo, debe saberse qué formato envía, cómo se asignan usuarios y marcas de tiempo y si las acciones decisivas se registran. Un registro técnicamente legible pero sin una identidad inequívoca puede seguir siendo inútil para investigar. Un parser ayuda a interpretar los campos, pero no genera eventos que el sistema de origen nunca proporcionó.

La conexión Syslog de un Sophos Firewall es un ejemplo de vía de transporte. Un envío correcto demuestra, en primer lugar, únicamente el transporte. Para aceptar la puesta en servicio, un evento de prueba conocido debe aparecer en el análisis con la hora, el sistema y la acción correctos y seguir siendo localizable durante el periodo previsto.

¿Cuánto cuesta realmente Next-Gen SIEM?

El complemento está destinado a clientes de XDR o MDR y se licencia por usuario y servidor. Según la política de licencias de Sophos, la cantidad debe corresponder al número total de suscripciones de XDR/MDR pertinentes. Por tanto, contar solo a los administradores o a un pequeño grupo piloto no sería un cálculo completo.

Sophos anuncia un modelo sin tarifas de ingesta dependientes del volumen. Esto significa que el precio no se calcula por cada gigabyte ingerido, como ocurre en un modelo clásico. No significa una ingesta de datos ilimitada: la política de licencias indica un límite de 1 GB de datos brutos al día entre todas las fuentes; la oferta debe aclarar inequívocamente cómo se aplica ese límite a la cantidad contratada.

El precio total también incluye las ampliaciones de retención deseadas, las posibles licencias de las fuentes de datos, la configuración y el funcionamiento continuado. Para que la comparación sea útil, una oferta debe cubrir el mismo alcance de datos y la misma retención que la alternativa.

¿Quién investiga los datos recopilados?

Un SIEM requiere supervisar las fuentes, mantener las asignaciones de campos y hacer posibles los análisis. Si falla una integración, no debería descubrirse solo cuando se produce un incidente. Alguien debe saber qué datos llegaron por última vez y cuándo, y qué cambios en el sistema de origen afectan al flujo de datos.

Con MDR ya hay analistas para el servicio de seguridad acordado. Pero eso no implica que se trate de forma general cada informe de cumplimiento o cada fuente de datos propia. Antes de ampliar el servicio, debe definirse qué datos adicionales investigará Sophos dentro del servicio contratado y qué análisis seguirá realizando el equipo de TI. Un repositorio compartido no elimina estos límites de responsabilidad.

¿Cuándo compraría el complemento?

Next-Gen SIEM puede resultar útil cuando el alcance existente no permite la investigación o la retención necesarias. Un piloto debería tener una fuente representativa, una pregunta concreta y una persona responsable. El resultado es un análisis verificable del que se conocen la exhaustividad de los datos y el esfuerzo necesario.

Quien ya no responde a las alertas actuales gana poco con almacenarlas más tiempo. Primero deben funcionar las responsabilidades y los controles existentes. Compraría el complemento si cubre una carencia identificada, y no solo porque «más logs» suene a más seguridad.

Preguntas frecuentes