02.4SECURITY MONITORING

Lo que cambiatambién necesita observarse.

Monitoreamos señales, eventos y cambios relevantes para mejorar la visibilidad sobre infraestructura, exposición y comportamiento operativo.

HABLAR CON EVOFCS↗EXPLORAR MONITOREO↓

02.4.1VISIBILIDAD CONTINUA

Una evaluación capturaun momento. Los sistemas siguen cambiando.

Infraestructura, aplicaciones, usuarios y servicios cambian después de una evaluación o despliegue.

Nuevas configuraciones, accesos y componentes pueden modificar la postura de seguridad con el tiempo.

El monitoreo busca conservar visibilidad sobre esas señales para que los cambios relevantes no dependan únicamente de una revisión manual futura.

02.4.2QUÉ OBSERVAMOS

Las señales dependen de la arquitectura y del alcance definido para cada entorno.

01◉

AVAILABILITY

Disponibilidad

Estado de servicios y componentes que forman parte del entorno monitoreado.

02⌁

CONFIGURATION

Cambios relevantes

Señales asociadas con modificaciones que pueden alterar el comportamiento esperado.

03◎

ACCESS

Acceso

Eventos y patrones de autenticación disponibles dentro del alcance técnico.

04⌖

EXPOSURE

Exposición externa

Cambios en activos o servicios públicamente observables.

05↺

RECOVERY

Respaldos

Señales relacionadas con tareas de respaldo y estado operativo.

06+

SYSTEM

Eventos del sistema

Información técnica disponible que puede aportar contexto sobre comportamiento.

02.4.3CONTEXT

SIGNAL DOES NOT EQUAL INCIDENT

Detectar un cambiono significa declarar una amenaza.

Muchos eventos forman parte de la operación normal: despliegues, reinicios, nuevos usuarios o cambios autorizados.

El valor del monitoreo está en comparar señales con el comportamiento esperado y decidir qué merece revisión adicional.

EVENTCONFIGURATION CHANGE

OBSERVED

CONTEXTDEPLOYMENT WINDOW

EXPECTED

OWNERAUTHORIZED CHANGE

VERIFIED

ASSESSMENTNO ESCALATION

NORMAL

02.4.4FLUJO

OBSERVE

Observar

Recopilamos señales definidas dentro del alcance técnico.

FILTER

Filtrar

Reducimos eventos repetitivos o comportamiento previamente esperado.

ASSESS

Contextualizar

Relacionamos la señal con sistemas, responsables y cambios conocidos.

ESCALATE

Escalar

Los eventos relevantes pasan a revisión o intervención.

IMPROVE

Ajustar

Refinamos señales y reglas conforme aprendemos del entorno.

02.4.5 / AUTOMATIONCONTINUOUS SIGNAL COLLECTION

Automatizar la observación.No automatizar el juicio.

La automatización permite recopilar y comparar señales continuamente. La interpretación depende del contexto técnico y operativo.

COLLECT

Recopilación

Captura automatizada de señales definidas para el entorno.

COMPARE

Comparación

Identificación de diferencias respecto al comportamiento esperado.

NOTIFY

Notificación

Eventos seleccionados pueden generar avisos para revisión.

REVIEW

Revisión

Las señales necesitan contexto antes de convertirse en decisiones.

02.4.6ALCANCE

Monitoreo continuono significa vigilancia humana permanente.

EVOFCS puede utilizar automatización para observar señales y generar eventos de revisión de forma continua.

Esto no implica, por defecto, un equipo humano observando una consola cada minuto del día ni una respuesta inmediata 24/7.

Frecuencias de revisión, canales de notificación, tiempos de atención y responsabilidades se definen dentro del alcance del servicio.

AUTOMATIONSIGNAL COLLECTION

CONTINUOUS

EVENTRULE MATCH

AUTOMATED

REVIEWHUMAN ANALYSIS

DEFINED

RESPONSEENGAGEMENT TERMS

SCOPED

02.4.7CUÁNDO TIENE SENTIDO

Cuando el entornoya no puede depender sólo de revisiones puntuales.

Infraestructura administrada

Entornos donde EVOFCS ya participa en operación o mantenimiento.

Sistemas expuestos a Internet

Aplicaciones y servicios donde cambios externos necesitan mayor visibilidad.

Después de hardening

Observar si un entorno se mantiene cerca del baseline definido.

Entornos con cambios frecuentes

Infraestructura donde despliegues y configuraciones evolucionan continuamente.

Superficie externa

Organizaciones que desean identificar cambios en activos públicamente observables.

02.4.8 / INFRASTRUCTURE

Monitorear es partede operar correctamente.

Dentro de MWS, la observabilidad forma parte de la operación de infraestructura administrada.

Esto permite conectar disponibilidad, mantenimiento, cambios y recuperación dentro de una misma responsabilidad operativa.

CONOCER MWS↗

01DEPLOYProduction environment

↓

02OBSERVECollect operational signals

↓

03MAINTAINReview & adjust

↓

04RECOVERRestore when required

02.4.9PRINCIPIOS

Más señalesno siempre significan más visibilidad.

Relevancia

Monitoreamos señales que ayudan a responder una necesidad concreta.

Contexto

Una alerta aislada no debe interpretarse fuera del comportamiento del sistema.

Automatización útil

Automatizamos recopilación y comparación para reducir trabajo repetitivo.

Responsabilidades claras

Definimos quién revisa, quién decide y quién ejecuta cada tipo de acción.

Mejora continua

Las reglas deben cambiar conforme cambia el entorno y aprendemos de él.

EVOFCS / SECURITY MONITORINGVISIBILITY AFTER DEPLOYMENT

No espere a la siguiente revisiónpara descubrir qué cambió.

Podemos definir qué señales tiene sentido observar, cómo deben evaluarse y qué responsabilidades acompañan al monitoreo.

HABLAR CON EVOFCS↗