La Importancia de la Monitorización de Redes en la Seguridad Cibernética: Guía Completa 2026

📘 Este artículo forma parte de nuestra Guía Completa de Redes 2026 y de nuestra Guía Completa de Ciberseguridad 2026. Si quieres dominar la seguridad de tu infraestructura, esas guías son tu punto de partida.

Introducción

No puedes proteger lo que no puedes ver. Esta frase resume por qué la monitorización de redes es una de las prácticas más importantes —y a menudo más descuidadas— de la ciberseguridad moderna.

Cada día, una red empresarial media genera millones de eventos: conexiones entrantes, salientes, intentos de autenticación, transferencias de datos, accesos a servicios. Sin monitorización, esos eventos son invisibles hasta que ocurre la brecha. Y entonces es demasiado tarde.

En 2026, con amenazas avanzadas como APTs, ransomware sigiloso, movimiento lateral y exfiltración de datos, la monitorización continua ha dejado de ser opcional para convertirse en una necesidad estratégica. Normativas como NIS2 y DORA la exigen explícitamente.

En esta guía completa vas a aprender:

• Qué es la monitorización de redes y por qué es crítica.
• Los 6 pilares de la monitorización moderna.
• Qué métricas y eventos hay que monitorizar.
• Tipos de monitorización: activa, pasiva, continua.
• Herramientas esenciales (Wireshark, Suricata, Zeek, Wazuh).
• SIEM, SOAR y XDR: cómo se integran.
• Cómo montar un sistema de monitorización desde cero.
• Detección de amenazas con ejemplos reales.
• Optimización y reducción de falsos positivos.
• FAQ con las preguntas más frecuentes.

Si te interesa la seguridad general, consulta Guía Completa de Ciberseguridad. Para respuesta a incidentes, nuestra Guía de auditoría de ciberseguridad.

Índice de contenidos

1. Qué es la monitorización de redes
2. Por qué es crítica en 2026
3. Los 6 pilares de la monitorización moderna
4. Qué monitorizar: métricas y eventos
5. Tipos de monitorización
6. Herramientas esenciales
7. SIEM, SOAR y XDR
8. Cómo montar un sistema de monitorización
9. Detección de amenazas: ejemplos reales
10. Optimización y falsos positivos
11. FAQ
12. Conclusión

1. Qué es la monitorización de redes

La monitorización de redes es el proceso continuo de observar, registrar y analizar el tráfico, los eventos y el comportamiento de una red para:

• Detectar amenazas en tiempo real.
• Identificar anomalías de comportamiento.
• Auditar accesos y actividades.
• Diagnosticar problemas de rendimiento.
• Cumplir normativas y estándares.
• Responder rápido ante incidentes.

1.1 Componentes clave

• Recolección: capturar datos de red y sistemas.
• Normalización: unificar formatos.
• Análisis: detectar patrones y anomalías.
• Correlación: relacionar eventos de distintas fuentes.
• Alertas: notificar eventos importantes.
• Retención: almacenar para análisis forense.

1.2 Diferencia con «monitorización de servidores»

Ambas se complementan. Una monitorización completa integra las dos.

1.3 Concepto clave: visibilidad

Sin visibilidad no hay control. La monitorización proporciona:

• Qué está pasando.
• Quién lo está haciendo.
• Cuándo ocurre.
• Dónde se origina.
• Cómo se está propagando.
• Por qué importa.

Consulta Guía Completa de Redes para el contexto general.

2. Por qué es crítica en 2026

2.1 Amenazas modernas

Las amenazas actuales son sigilosas y difíciles de detectar sin monitorización:

• APTs (Advanced Persistent Threats): persisten meses sin ser detectados.
• Ransomware sigiloso: cifra archivos lentamente para evitar sospechas.
• Movimiento lateral: exploración lenta de la red interna.
• Exfiltración de datos: transferencias pequeñas y continuas.
• Ataques a la cadena de suministro.
• Malware fileless: vive en memoria, sin archivos en disco.
• Ataques con IA.

2.2 Datos que lo confirman

• 204 días es el tiempo medio en detectar una brecha (IBM).
• 65% de las brechas se detectan por terceros, no por la propia empresa.
• 73% de las organizaciones no monitorizan adecuadamente su red.
• Coste de una brecha: 4,8 M$ de media global.
• Multas NIS2: hasta 10 M€ o 2% de facturación.

2.3 Regulación y cumplimiento

NIS2 (UE):

• Obliga a monitorizar incidentes.
• Reportar en 24h incidentes significativos.
• Multas de hasta 10 M€ o 2%.

DORA (UE):

• Sector financiero.
• Monitorización continua obligatoria.

ISO 27001:

• Requisito de monitorización.
• Auditoría de logs.

PCI-DSS:

• Monitorización de accesos.
• Retención de logs (mínimo 1 año).

RGPD:

• Notificación de brechas en 72h.
• Necesitas monitorización para detectarlas.

2.4 Coste de NO monitorizar

• Detección tardía: daño amplificado.
• Recuperación más cara: semanas o meses.
• Multas regulatorias.
• Daño reputacional.
• Pérdida de clientes.
• Posible cierre (60% de PYMES atacadas cierran en 6 meses).

Consulta Guía Completa de Ciberseguridad.

3. Los 6 pilares de la monitorización moderna

3.1 Recolección de datos

Fuentes:

• Logs de sistema (syslog, journald).
• Logs de aplicaciones (Nginx, Apache, BD).
• Tráfico de red (NetFlow, sFlow, pcap).
• DNS queries.
• Endpoint (procesos, archivos).
• Cloud (AWS CloudTrail, Azure Monitor).
• Autenticación (AD, LDAP, SSO).
• Firewall (iptables, pfSense).
• IDS/IPS (Suricata, Snort).
• WAF (ModSecurity, Cloudflare).
• IoT y OT.

3.2 Normalización

Problema: cada fuente tiene formato distinto.

Solución: normalizar en un formato común.

Ejemplos:

• CEF (Common Event Format).
• LEEF (Log Event Extended Format).
• JSON estructurado.
• Syslog RFC 5424.

Objetivo: correlacionar eventos de múltiples fuentes.

3.3 Análisis

Tipos:

• Basado en firmas: patrones conocidos.
• Basado en anomalías: comportamiento inusual.
• Basado en heurística: reglas inteligentes.
• ML/AI: detección con machine learning.

Ejemplo: Suricata detecta tráfico conocido malicioso.

3.4 Correlación

Relacionar eventos de múltiples fuentes para detectar ataques complejos.

Ejemplo:

• Múltiples logins fallidos (SSH).
• Login exitoso desde IP nueva.
• Acceso a archivos sensibles.
• Salida de datos inusual.

Cada evento aislado puede ser benigno. La correlación revela el ataque.

3.5 Alertas

Notificar eventos importantes.

Niveles:

• P1: crítico (respuesta inmediata).
• P2: alto (respuesta en horas).
• P3: medio (respuesta en días).
• P4: bajo (informativo).

Canales:

• Email.
• Slack / Teams / Discord.
• SMS.
• PagerDuty / Opsgenie.
• Webhooks.

3.6 Retención y análisis forense

Guardar logs para análisis posterior.

Recomendaciones:

• Mínimo: 3 meses (RGPD).
• Recomendado: 1 año (PCI-DSS).
• Ideal: 2+ años (forense).

Almacenamiento:

• Cold storage para logs antiguos.
• Índices para búsqueda rápida.

Consulta Forense digital.

4. Qué monitorizar: métricas y eventos

4.1 Tráfico de red

• Volumen (bytes/segundo).
• Protocolos (HTTP, DNS, SSH…).
• Puertos utilizados.
• Flujos (NetFlow, sFlow).
• Conexiones activas.
• IPs origen/destino.

4.2 Autenticación

• Logins exitosos.
• Logins fallidos.
• Cuentas bloqueadas.
• Cambios de contraseña.
• Elevación de privilegios.
• Accesos a cuentas privilegiadas.

4.3 DNS

• Consultas a dominios sospechosos.
• Dominios recién registrados.
• DGA (Domain Generation Algorithms).
• DNS tunneling.
• Consultas a IPs maliciosas.

4.4 Endpoints

• Procesos iniciados.
• Conexiones de red.
• Archivos modificados.
• Registro de Windows.
• Persistencia (cron, servicios).
• Uso de recursos anómalo.

4.5 Aplicaciones

• Errores HTTP.
• Intentos de inyección.
• Accesos a URLs sospechosas.
• Tamaños de petición anómalos.
• Rate limiting.

4.6 Bases de datos

• Consultas lentas.
• Accesos desde IPs inusuales.
• Volumen de datos extraídos.
• Cambios de esquema.

4.7 Cloud

• Accesos a consolas.
• Creación de recursos.
• Cambios de configuración.
• Exfiltración de datos.
• Uso anómalo.

4.8 Tabla resumen de eventos críticos

5. Tipos de monitorización

5.1 Monitorización activa

Envía paquetes para comprobar servicios.

Herramientas:

• Nagios, Zabbix, Prometheus.
• Ping, HTTP checks.
• Synthetic monitoring.

Ventajas:

• Detecta fallos de disponibilidad.
• Mide rendimiento real.
• Proactiva.

Limitaciones:

• Genera tráfico.
• No ve todo el tráfico.

5.2 Monitorización pasiva

Observa el tráfico sin generar.

Herramientas:

• Wireshark, tcpdump.
• Suricata, Zeek.
• NetFlow, sFlow.

Ventajas:

• No interfiere.
• Ve todo el tráfico.
• Detecta amenazas.

Limitaciones:

• Requiere puntos de captura.
• Volumen alto.

5.3 Monitorización continua

24/7. La única forma de detectar amenazas en tiempo real.

Requisitos:

• SIEM centralizado.
• SOC (interno o externo).
• Alertas automáticas.
• Respuesta automatizada (SOAR).

5.4 Monitorización basada en agentes vs agentless

Agentes:

• Instalados en endpoints.
• Más datos.
• Requiere mantenimiento.

Agentless:

• Sin instalación.
• Menos intrusivo.
• Menos datos.

Recomendación: híbrido según criticidad.

6. Herramientas esenciales

6.1 Captura y análisis de tráfico

Wireshark:

• Análisis de paquetes.
• GUI completa.
• Filtros potentes.

sudo apt install wireshark

sudo apt install wireshark

tcpdump:

• Captura CLI.
• Ligero.

sudo tcpdump -i eth0 -w captura.pcap

sudo tcpdump -i eth0 -w captura.pcap

tshark:

• Versión CLI de Wireshark.

6.2 IDS/IPS

Suricata:

• IDS/IPS moderno.
• Multi-threading.
• Reglas de Emerging Threats.

sudo apt install suricata
sudo suricata-update
sudo systemctl enable --now suricata

sudo apt install suricata
sudo suricata-update
sudo systemctl enable --now suricata

Consulta Todo lo que necesitas saber sobre Suricata.

Snort:

• Clásico IDS/IPS.

Zeek (antes Bro):

• Análisis de tráfico orientado a seguridad.
• Genera logs estructurados.

sudo apt install zeek

sudo apt install zeek

6.3 Flujos de red

NetFlow / sFlow / IPFIX:

• Información de flujos.
• Menos detalle que pcap, menos volumen.

Herramientas:

• nfdump/nfsen.
• Elastiflow.
• Akvorado.

6.4 SIEM

Wazuh:

• SIEM + HIDS open source.
• Muy completo.

curl -sO https://packages.wazuh.com/4.7/wazuh-install.sh
sudo bash wazuh-install.sh -a

curl -sO https://packages.wazuh.com/4.7/wazuh-install.sh
sudo bash wazuh-install.sh -a

ELK Stack:

• Elasticsearch + Logstash + Kibana.

Splunk:

• Estándar comercial.

Microsoft Sentinel:

• SIEM cloud de Microsoft.

Graylog:

• Alternativa open source.

Consulta Las mejores herramientas de monitorización.

6.5 Endpoint Detection and Response (EDR)

• CrowdStrike Falcon.
• SentinelOne.
• Microsoft Defender for Endpoint.
• Wazuh (open source).

6.6 Network Detection and Response (NDR)

• Darktrace.
• Vectra AI.
• Zeek + Suricata (DIY).

6.7 Monitorización de rendimiento

• Zabbix.
• Prometheus + Grafana.
• Netdata.
• Nagios.
• LibreNMS.

6.8 Herramientas específicas

• MISP (threat intelligence).
• TheHive (gestión de casos).
• Velociraptor (forense).
• RITA (análisis de flujos).

Consulta Herramientas de análisis de malware.

7. SIEM, SOAR y XDR

7.1 SIEM

Security Information and Event Management.

Funciones:

• Recolección centralizada de logs.
• Normalización de eventos.
• Correlación de eventos.
• Alertas automáticas.
• Dashboards y reportes.

Ejemplos:

• Splunk.
• IBM QRadar.
• Microsoft Sentinel.
• Wazuh (open source).
• Elastic Security.

Ventajas:

• Visibilidad centralizada.
• Cumplimiento normativo.
• Detección avanzada.

Limitaciones:

• Coste (comerciales).
• Complejidad.
• Falsos positivos.

7.2 SOAR

Security Orchestration, Automation and Response.

Funciones:

• Orquestación de herramientas.
• Automatización de respuestas.
• Playbooks predefinidos.
• Reducción de MTTR.

Ejemplos:

• Palo Alto Cortex XSOAR.
• Splunk Phantom.
• Swimlane.

Uso típico:

• Bloqueo automático de IP maliciosa.
• Aislamiento de endpoint comprometido.
• Reset de credenciales.

7.3 XDR

Extended Detection and Response.

Funciones:

• Correlación de múltiples fuentes (endpoint, red, cloud, email).
• Detección de cadenas de ataque complejas.
• Respuesta coordinada.

Ejemplos:

• CrowdStrike Falcon XDR.
• Palo Alto Cortex XDR.
• Microsoft Defender XDR.
• SentinelOne Singularity.

Ventaja: visión unificada.

7.4 Comparativa

En la práctica: SIEM + SOAR + XDR = SOC moderno.

Consulta Implementación de Zero Trust y plataformas EDR.

8. Cómo montar un sistema de monitorización

8.1 Fase 1: Planificación

Objetivos:

• Definir qué monitorizar.
• Identificar fuentes de datos.
• Establecer KPIs.
• Presupuesto.

Inventario:

• Servidores.
• Endpoints.
• Dispositivos de red.
• Servicios cloud.
• Aplicaciones.

8.2 Fase 2: Recolección

Centralizar logs:

# rsyslog
sudo apt install rsyslog
sudo nano /etc/rsyslog.conf

# Enviar a servidor central
*.* @@log-server.example.com:514

# rsyslog
sudo apt install rsyslog
sudo nano /etc/rsyslog.conf

# Enviar a servidor central
*.* @@log-server.example.com:514

Alternativas:

• Filebeat.
• Fluentd.
• Vector.
• Promtail.

8.3 Fase 3: Análisis

Instalar SIEM (ejemplo Wazuh):

# Instalación todo-en-uno
curl -sO https://packages.wazuh.com/4.7/wazuh-install.sh
sudo bash wazuh-install.sh -a

# Instalación todo-en-uno
curl -sO https://packages.wazuh.com/4.7/wazuh-install.sh
sudo bash wazuh-install.sh -a

Alternativa ELK:

# Elasticsearch
sudo apt install elasticsearch

# Logstash
sudo apt install logstash

# Kibana
sudo apt install kibana

# Elasticsearch
sudo apt install elasticsearch

# Logstash
sudo apt install logstash

# Kibana
sudo apt install kibana

8.4 Fase 4: Detección

IDS/IPS:

# Suricata
sudo apt install suricata
sudo suricata-update
sudo systemctl enable --now suricata

# Zeek
sudo apt install zeek
sudo zeekctl deploy

# Suricata
sudo apt install suricata
sudo suricata-update
sudo systemctl enable --now suricata

# Zeek
sudo apt install zeek
sudo zeekctl deploy

Reglas:

• Emerging Threats (gratuitas).
• Snort rules.
• Personalizadas.

8.5 Fase 5: Alertas

Configurar notificaciones:

# Wazuh
# Configurar alertas por email, Slack, etc.

# Wazuh
# Configurar alertas por email, Slack, etc.

Niveles:

• P1: SMS + PagerDuty.
• P2: Email + Slack.
• P3: Dashboard.

8.6 Fase 6: Respuesta

Playbooks:

• Phishing: aislar usuario, escanear endpoint.
• Malware: aislar endpoint, analizar.
• Fuerza bruta: bloquear IP.
• Exfiltración: bloquear tráfico, investigar.

Automatización con SOAR.

8.7 Fase 7: Retención

Almacenamiento:

# Elasticsearch con política ILM
# Logs recientes: SSD
# Logs antiguos: HDD / S3

# Elasticsearch con política ILM
# Logs recientes: SSD
# Logs antiguos: HDD / S3

Retención:

• 3-12 meses según criticidad.
• Más para cumplimiento.

8.8 Fase 8: Mejora continua

• Revisar alertas semanalmente.
• Ajustar reglas.
• Formar al equipo.
• Simulacros de incidentes.

Consulta Auditoría de ciberseguridad.

9. Detección de amenazas: ejemplos reales

9.1 Fuerza bruta SSH

Señales:

• Múltiples logins fallidos.
• Desde IPs distintas.
• En poco tiempo.

Detección:

# En auth.log
grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -rn

# En auth.log
grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -rn

Respuesta: Fail2ban, bloqueo.

Consulta Cómo configurar Fail2ban.

9.2 Movimiento lateral

Señales:

• Accesos a nuevos hosts.
• Escaneos internos.
• Credenciales en múltiples sistemas.

Detección:

• BloodHound.
• Wazuh con reglas específicas.
• Análisis de flujos.

9.3 Exfiltración de datos

Señales:

• Transferencias grandes fuera de horario.
• Conexiones a IPs desconocidas.
• Uso de servicios cloud no autorizados.

Detección:

• NetFlow con análisis de volumen.
• Zeek con logs estructurados.
• DLP (Data Loss Prevention).

9.4 Ransomware

Señales:

• Cifrado masivo de archivos.
• Borrado de shadow copies.
• Conexiones a servidores C&C.
• Extensiones raras.

Detección:

• EDR con comportamiento.
• Wazuh con reglas.
• Canary files.

9.5 C2 (Command and Control)

Señales:

• Beaconing periódico.
• DNS a dominios raros.
• Tráfico cifrado a IPs desconocidas.

Detección:

• RITA (análisis de flujos).
• Suricata con reglas ET.
• DNS monitoring.

9.6 APT

Señales:

• Persistencia sutil.
• Exfiltración lenta.
• Uso de herramientas legítimas (LOLBins).

Detección:

• MITRE ATT&CK mapping.
• UEBA.
• Threat hunting proactivo.

Consulta Todo sobre MITRE ATT&CK y Introducción al threat hunting.

10. Optimización y falsos positivos

10.1 El problema de los falsos positivos

Falsos positivos: alertas de amenazas que no lo son.

Impacto:

• Fatiga de alertas.
• Ignorar alertas reales.
• Pérdida de tiempo.
• Coste.

Soluciones:

• Ajustar umbrales.
• Listas blancas de IPs y dominios.
• Contextualizar con threat intelligence.
• Machine Learning para reducir ruido.
• Tuning continuo.

10.2 Priorización de alertas

Sistema de puntuación:

Regla: no todas las alertas merecen la misma atención.

10.3 Reducción de ruido

Técnicas:

• Thresholds por tipo de evento.
• Correlación para agrupar.
• Supresión de eventos conocidos.
• Deduplicación.
• Dashboards filtrados.

10.4 Automatización

SOAR para:

• Triage automático de alertas.
• Enriquecimiento con threat intelligence.
• Respuesta automatizada a incidentes comunes.
• Escalado a analistas.

10.5 Métricas

KPIs:

• MTTD (Mean Time To Detect).
• MTTR (Mean Time To Respond).
• False Positive Rate.
• Alert volume.
• Coverage de activos.

Objetivos:

• MTTD: < 1 hora.
• MTTR: < 4 horas.
• FPR: < 10%.

10.6 Mejora continua

• Revisión semanal de alertas.
• Análisis post-incidente.
• Ajuste de reglas.
• Formación del equipo.
• Automatización de tareas repetitivas.

Consulta Optimización de rendimiento de servidores Linux (aplicable a la monitorización).

11. FAQ

¿Por qué es importante monitorizar la red?

Porque no puedes proteger lo que no puedes ver.

Beneficios:

• Detectar amenazas en tiempo real.
• Reducir el tiempo de respuesta (MTTD/MTTR).
• Cumplir normativas (NIS2, ISO 27001, PCI-DSS).
• Prevenir brechas costosas.
• Mejorar el rendimiento de la red.
• Facilitar el análisis forense.

¿Cuánto cuesta monitorizar una red?

Varía mucho según el tamaño:

Alternativas open source:

• Wazuh.
• ELK Stack.
• Suricata + Zeek.
• Zabbix.

Coste: hardware + tiempo de configuración.

¿Qué debo monitorizar primero?

Prioridades:

1. Autenticación (SSH, RDP, logins).
2. Tráfico saliente (exfiltración, C2).
3. DNS (C2, DGA).
4. Firewall (bloqueos, escaneos).
5. Aplicaciones web (intentos de ataque).
6. Endpoints críticos (servidores, directivos).
7. Cloud (accesos, cambios).

¿Qué diferencia hay entre IDS e IPS?

• IDS (Intrusion Detection System): detecta y alerta.
• IPS (Intrusion Prevention System): detecta y bloquea.

Ejemplo: Suricata puede funcionar en ambos modos.

¿Qué es un SIEM y por qué lo necesito?

SIEM (Security Information and Event Management): plataforma que centraliza logs, correlaciona eventos y genera alertas.

Necesitas un SIEM si:

• Tienes múltiples fuentes de logs.
• Necesitas correlacionar eventos.
• Quieres cumplir normativas.
• Tienes un SOC o MSSP.

Open source: Wazuh, ELK Stack.

¿Qué es un SOC?

Security Operations Center: equipo que monitoriza la seguridad 24/7.

Tipos:

• Interno (propio).
• Externo (MSSP).
• Híbrido.

Funciones:

• Monitorización continua.
• Análisis de alertas.
• Respuesta a incidentes.
• Mejora continua.

¿Cuánto tiempo debo guardar los logs?

Recomendaciones:

• Mínimo: 3 meses.
• Recomendado: 1 año (PCI-DSS).
• Ideal: 2+ años (forense).

Factores: regulación, criticidad, presupuesto.

¿Cómo reduzco falsos positivos?

Técnicas:

1. Ajustar umbrales.
2. Listas blancas.
3. Correlación de eventos.
4. Machine Learning para reducir ruido.
5. Revisión periódica.
6. Automatización de triage.

¿Qué es MTTD y MTTR?

• MTTD (Mean Time To Detect): tiempo medio en detectar.
• MTTR (Mean Time To Respond): tiempo medio en responder.

Objetivos:

• MTTD: < 1 hora.
• MTTR: < 4 horas.

¿Qué es NetFlow y por qué importa?

NetFlow: protocolo que recopila información de flujos de red (IP origen/destino, puertos, protocolo, bytes).

Ventajas:

• Menor volumen que pcap.
• Análisis de patrones.
• Detección de exfiltración.
• Visibilidad de red.

Alternativas: sFlow, IPFIX.

¿Qué es un NDR?

Network Detection and Response: solución que usa ML para detectar amenazas en la red.

Ejemplos:

• Darktrace.
• Vectra AI.
• Zeek + Suricata (DIY).

¿Cómo empiezo a monitorizar mi red?

Plan:

1. Inventario de activos.
2. Centralizar logs (rsyslog, Filebeat).
3. Instalar SIEM (Wazuh).
4. Añadir IDS (Suricata).
5. Configurar alertas.
6. Crear playbooks.
7. Revisar y mejorar.

Recomendación: empieza con Wazuh (open source).

¿Puedo monitorizar mi red doméstica?

Sí.

Herramientas:

• Pi-hole (DNS).
• Wireshark (tráfico).
• Suricata en un router.
• Wazuh en una Raspberry Pi.

Uso: aprender, detectar dispositivos raros.

Consulta Cómo detectar dispositivos espía en tu red.

¿Qué es un MSSP?

Managed Security Service Provider: empresa que monitoriza tu seguridad 24/7 por ti.

Ventajas:

• No necesitas SOC interno.
• Coste predecible.
• Expertos 24/7.

Coste: desde 500 €/mes para PYMES.

¿Qué es threat hunting?

Búsqueda proactiva de amenazas que han evadido las defensas automáticas.

Diferencia con monitorización:

• Monitorización: reactiva (alertas).
• Threat hunting: proactiva (búsqueda).

Consulta Introducción al threat hunting.

¿Qué es UEBA?

User and Entity Behavior Analytics: análisis del comportamiento de usuarios y entidades para detectar anomalías.

Ejemplo: un usuario que normalmente trabaja de 9 a 18 empieza a acceder a las 3 AM desde otro país.

Herramientas: Exabeam, Securonix, Microsoft Sentinel.

¿Qué es un playbook?

Procedimiento documentado para responder a un tipo de incidente.

Ejemplo (phishing):

1. Recibir alerta.
2. Analizar email.
3. Identificar destinatarios.
4. Eliminar email.
5. Aislar usuarios afectados.
6. Escanear endpoints.
7. Documentar.

¿Cómo mido la eficacia de mi monitorización?

KPIs:

• MTTD (tiempo de detección).
• MTTR (tiempo de respuesta).
• Falsos positivos.
• Cobertura de activos.
• Nº de incidentes detectados.
• Mejora año a año.

¿Vale la pena en una PYME?

Sí, más que nunca.

• El 43% de ataques van a PYMES.
• 60% de PYMES atacadas cierran en 6 meses.
• La regulación (NIS2) lo exige a muchas PYMES.

Alternativas:

• MSSP (externalizar).
• Herramientas open source.
• Empezar pequeño y crecer.

Consulta Ciberseguridad para PYMES.

¿Qué es el logging y por qué es importante?

Logging: registrar eventos del sistema y aplicaciones.

Importancia:

• Detección de amenazas.
• Análisis forense.
• Cumplimiento normativo.
• Debugging.

Regla: si no está en logs, no existe.

Consulta Análisis de registros en Linux.

¿Cómo protejo los logs?

Medidas:

• Centralizar (no dejar solo en el host).
• Cifrar en tránsito.
• Permisos restrictivos.
• Integridad (checksums).
• Retención adecuada.
• Backup separado.

Regla: los atacantes intentan borrar los logs. Protégelos.

¿Qué es la observabilidad?

Observabilidad: capacidad de entender el estado interno de un sistema a partir de sus salidas.

Los 3 pilares:

• Métricas.
• Logs.
• Trazas.

Diferencia con monitorización:

• Monitorización: preguntas conocidas.
• Observabilidad: explorar problemas nuevos.

Consulta Las mejores herramientas de monitorización.

12. Conclusión

La monitorización de redes es una necesidad estratégica en 2026. Sin visibilidad, cualquier organización es vulnerable a amenazas que pueden tardar meses en detectarse.

Puntos clave:

1. No puedes proteger lo que no ves.
2. El 65% de brechas las detectan terceros, no la propia empresa.
3. Los 6 pilares: recolección, normalización, análisis, correlación, alertas, retención.
4. Qué monitorizar: auth, DNS, tráfico, endpoints, cloud.
5. Herramientas: Wireshark, Suricata, Zeek, Wazuh.
6. SIEM + SOAR + XDR = SOC moderno.
7. Alertas priorizadas por severidad.
8. Reducir falsos positivos con tuning y ML.
9. Métricas: MTTD, MTTR, FPR.
10. Cumplimiento con NIS2, ISO 27001, PCI-DSS.

Recomendación para empezar:

1. Inventario de activos.
2. Centralizar logs (rsyslog, Filebeat).
3. Instalar Wazuh (SIEM open source).
4. Añadir Suricata (IDS).
5. Configurar alertas.
6. Crear playbooks.
7. Mejorar continuamente.

Si quieres profundizar:

• Guía Completa de Redes 2026
• Guía Completa de Ciberseguridad 2026
• Todo sobre Suricata
• Análisis de registros en Linux
• Introducción al threat hunting
• Todo sobre MITRE ATT&CK
• Las mejores herramientas de monitorización de servidores
• Cómo configurar Fail2ban
• Forense digital: métodos y recolección de evidencias
• Auditoría de ciberseguridad
• Introducción a ciberseguridad en IoT