Wazuh gestionado: SIEM y detección de amenazas en vuestra infraestructura

Durante las primeras semanas revisamos qué reglas saltan más y por qué. Lo que es comportamiento normal de vuestros sistemas, como una tarea programada o un escaneo autorizado, se convierte en una excepción concreta y documentada en el repositorio, no en una regla desactivada entera. Para vuestras aplicaciones escribimos decodificadores propios, de modo que sus registros se entiendan y puedan generar alertas útiles. Cada cambio en las reglas queda en Git y se puede revisar y revertir.

Wazuh cubre bien una parte: registro centralizado de eventos, detección, integridad de archivos, inventario y vulnerabilidades, y evidencias que un auditor puede revisar. Pero no os hace cumplir nada por sí solo; las políticas, la gestión de riesgos y los procesos de respuesta siguen siendo trabajo de vuestra organización. Si queréis saber dónde estáis, lo revisamos en la auditoría de fiabilidad y seguridad.

La configuración del servidor, las reglas propias y los grupos de agentes están en el repositorio. Los índices se copian con snapshots a un almacenamiento de objetos, y restauramos de prueba para comprobar que los eventos se pueden consultar. Para actualizar seguimos el orden de la guía oficial: indexador, servidor, panel y, por último, los agentes, que nunca deben ir por delante del servidor. Ensayamos antes en un entorno de pruebas y revisamos que las reglas propias siguen cargando.

La vigilancia automática es continua; la respuesta humana, el siguiente día hábil en horario laboral, dentro del SRE como servicio. Operamos la plataforma y ajustamos las detecciones; si necesitáis analistas revisando eventos toda la noche, os lo decimos antes de empezar. Cada mes recibís un informe con agentes activos, alertas relevantes, cambios en reglas y estado de la retención. Si también queréis métricas y registros de aplicación, lo conectamos con la observabilidad.