FortiSiem 1

Arquitectura de FortiSIEM

• El Supervisor es el componente de FortiSIEM encargado de analizar eventos en tiempo real y generar incidentes.

Reglas y correlación de eventos

• El campo "Group By" en una regla de FortiSIEM determina cómo se agrupan los eventos para generar un incidente.

Automatización y políticas de respuesta

• Una acción automatizada se configura en la "Automation Policy" cuando se dispara un incidente.

Categorías de incidentes

• "Compliance" no es una categoría oficial de incidentes en FortiSIEM; las categorías oficiales son Seguridad, Rendimiento, Disponibilidad, Cambios y Otros.

UEBA (User and Entity Behavior Analytics)

• Se requiere una conexión API para bloquear dinámicamente IPs maliciosas en FortiGate basado en análisis UEBA.

Machine Learning en FortiSIEM

• Se pueden importar archivos Syslog y CSV para entrenar modelos de machine learning en FortiSIEM.

Monitoreo de rendimiento (PAM)

• Un evento con la etiqueta PH_DEV_MON_DATASTORE_UTIL pertenece a la categoría "Performance".

ZTNA y FortiClient EMS

• Se debe configurar una conexión API de FortiSIEM a EMS para aplicar etiquetas ZTNA desde FortiSIEM a dispositivos en FortiClient EMS.

Lookup Tables

• Las "Lookup Tables" en FortiSIEM se utilizan para enriquecer eventos con datos contextuales, como asociar una IP con un nombre de departamento.

Tiempo de condición en reglas

• Si una regla está configurada con "Define Condition Time = 300 segundos", significa que los eventos deben coincidir dentro de una ventana de 300 segundos para disparar un incidente.

Filtrado de Eventos

• El operador lógico "OR" se usa en FortiSIEM para crear una regla que active un incidente cuando un evento sea A o B.

Thresholds en Reglas

• La configuración para que una regla se dispare solo después de que un evento ocurra 5 veces en 10 minutos es Group By: srcIP, Count: 5, Condition Time: 600s.

Integración con FortiGate

• Syslog es el protocolo predeterminado que usa FortiSIEM para recibir logs de un FortiGate.

Análisis de Comportamiento (UEBA)

• UEBA detecta una anomalía temporal cuando un usuario accede a un recurso a una hora inusual.

Automatización con Scripts

• Python es el lenguaje de scripting comúnmente usado en las "Automation Policies" de FortiSIEM para acciones personalizadas, como bloquear IPs vía API.

Reportes Personalizados

• La opción "Schedule" en el reporte permite programar un reporte para que se envíe por correo cada lunes a las 8 AM.

Monitorización de Disponibilidad

• ICMP ping es el mecanismo que verifica el estado de un dispositivo que aparece como "Down" en FortiSIEM, dentro de PAM (Performance and Availability Monitoring).

Reglas de Cambio (Change)

• Una regla que detecta modificaciones en las reglas de un firewall generaría un incidente de tipo "Change".

Enriquecimiento de Datos

• La herramienta de FortiSIEM que permite asociar una IP interna con el nombre del departamento correspondiente es una "Lookup Table".

Mitigación Automatizada

• Una "Automation Policy" en FortiSIEM NO puede reiniciar un servidor físico pues FortiSIEM no tiene control directo sobre hardware físico.

Análisis Forense

• La ventana de tiempo máximo que permite el "Event Viewer" de FortiSIEM para buscar eventos históricos depende de la retención configurada.

Reglas Basadas en Riesgo

• El nivel de riesgo (Risk Score) de un incidente en FortiSIEM se define en la sección "Incident Settings", asignando un valor de 0-100.

Integración con LDAP

• Desde un servidor LDAP/Active Directory a FortiSIEM se sincronizan "Usuarios y grupos" para enriquecer eventos con datos de usuarios.

Dashboards Personalizados

• Un widget de "Video en tiempo real" NO está disponible en los dashboards de FortiSIEM.

Validación de Reglas

• "Rule Simulator" es la herramienta de FortiSIEM que permite probar el impacto de una regla antes de activarla en producción.

Flujo de trabajo de respuesta a incidentes

• El primer paso en el flujo de trabajo de respuesta a incidentes de FortiSIEM cuando se detecta un incidente de alta gravedad es asignar el incidente a un analista para su investigación.

Agrupación dinámica de dispositivos

• FortiSIEM agrupa dinámicamente los dispositivos para la monitorización basándose en sus atributos a través de la sincronización CMDB.

Gestión de multi-tenancy

• Al gestionar múltiples tenants en FortiSIEM, la función que garantiza que un tenant no pueda acceder a los datos de otro es el Control de Acceso Basado en Roles (RBAC).

Análisis de NetFlow

• FortiSIEM puede detectar un consumo de ancho de banda inusual utilizando datos de NetFlow.

Integración de inteligencia sobre amenazas

• FortiSIEM utiliza el formato STIX/TAXII para importar feeds de inteligencia sobre amenazas externos.

Reducción de falsos positivos

• La aplicación de listas blancas a las reglas de excepción ayuda a reducir los falsos positivos en la generación de incidentes en FortiSIEM.

Informe de cumplimiento

• Las plantillas de marco de cumplimiento ISO 27001 no están incluidas de forma nativa en FortiSIEM; otras están disponibles.

Investigación forense

• Al analizar un incidente, la función de FortiSIEM que muestra la cadena completa de eventos relacionados es la línea de tiempo del incidente.

Recopilación de registros en la nube

• Para la monitorización de AWS, el componente de FortiSIEM que recibe los registros de CloudTrail es el colector con integración de la API de AWS.

Reglas de análisis personalizadas

• Se utilizan expresiones regulares (RegEx) para definir analizadores de registros personalizados en FortiSIEM.

Configuración de alta disponibilidad

• En la implementación de HA de FortiSIEM, el componente que sincroniza los datos entre los nodos primario y secundario es la replicación de PostgreSQL.

Integración de MITRE ATT&CK

• FortiSIEM asigna incidentes al marco MITRE ATT&CK mediante asignaciones predefinidas de regla a táctica.

Monitorización del ancho de banda

• El informe de FortiSIEM que ayuda a identificar a los principales emisores en una red es el Resumen del tráfico de hosts.

Creación automatizada de tickets

• Al integrarse con ServiceNow, FortiSIEM utiliza el método de autenticación OAuth 2.0.

Optimización del almacenamiento

• Cuando se alcanza la cuota de almacenamiento de FortiSIEM, la recopilación se pausa hasta que se libera espacio.

Análisis del registro de eventos de Windows

• El ID de evento de Windows que se monitoriza comúnmente para los bloqueos de cuenta es el 4771.

Manejo de trampas SNMP

• FortiSIEM procesa las trampas SNMP de los dispositivos de red a través del servicio dedicado del receptor de trampas.

Detección de ataques de día cero

• La capacidad de FortiSIEM que ayuda a detectar malware de día cero es la detección de anomalías a través de UEBA.

Monitorización de sesiones VPN

• Una regla de FortiSIEM que detectaría inicios de sesión VPN simultáneos desde diferentes países es Agrupar por: Usuario, Agregar: RECUENTO, Condición: Desajuste de GeoIP.

Campos de incidente personalizados

• Los campos personalizados para el enriquecimiento de incidentes se definen en Configuración del incidente > Atributos personalizados.

Alerta en tiempo real

• FortiSIEM utiliza el protocolo SNPP para enviar alertas SMS.

Ajuste de reglas

• Después de implementar una nueva regla, la métrica que indica que es demasiado ruidosa es una alta tasa de falsos positivos.

FER (Receptor de eventos de reenvío)

• El propósito principal de un FER en las implementaciones distribuidas es el procesamiento de eventos de equilibrio de carga.

Limitación de la velocidad de la API

• FortiSIEM evita la sobrecarga de la API de las integraciones externas mediante el algoritmo del cubo de tokens.

Gestión de licencias

• Cuando se supera la licencia de FortiSIEM EPS (Eventos por segundo), las alertas se activan pero el procesamiento continúa.