Guía de registros y SIEM

Guía de supervisión de seguridad. Actualizada el 3 de noviembre de 2026.

1. Propósito y alcance

Esta guía explica cómo revisar los registros y las métricas de IntelliSuite e integrarlos con su sistema de gestión de información y eventos de seguridad (SIEM). OEE IntelliSuite trabajará con su equipo de TI para atender sus requisitos de SIEM.

El producto IntelliSuite incluye los componentes descritos a continuación. Confirme con su equipo de TI cuáles están instalados, cómo se accede a ellos, quién puede acceder y qué controles de seguridad están implementados. Esta guía no establece que ningún servicio, fuente de registros, cuenta, ruta de red o control de seguridad específico esté configurado o funcionando en su instalación.

2. La plataforma local de supervisión

El producto IntelliSuite incluye una plataforma local de supervisión construida con componentes abiertos estándar:

Grafana es la interfaz web que se usa para ver y consultar datos.
Loki almacena registros: mensajes de texto de los servicios con sus campos.
Prometheus almacena métricas: mediciones numéricas tomadas a lo largo del tiempo, como recuentos y tasas.
Tempo almacena trazas que muestran cómo pasó una solicitud por varios servicios.
Grafana Alloy es el recolector. Recibe telemetría de los servicios de IntelliSuite y la escribe en Loki, Prometheus y Tempo.

Los registros y las métricas son distintos. Use Loki para leer lo que informó un servicio. Use Prometheus para ver cómo cambió un valor con el tiempo. Ninguno de los dos constituye por sí solo una pista de auditoría de seguridad.

Base en el código fuente: el código del producto define estos componentes y aprovisiona las fuentes de datos de Grafana para Prometheus, Loki y Tempo. También establece períodos de retención predeterminados para cada almacén.
Verifique en su instalación: que la plataforma esté desplegada, desde dónde se puede acceder a Grafana, quién tiene cuentas y roles, y qué retención necesita su organización. La configuración predeterminada del código es un punto de partida. No es adecuada para producción hasta que se apliquen sus requisitos de acceso y seguridad.

3. Proporcionar acceso

Su equipo de TI e IntelliSuite confirman dónde se ejecuta Grafana y la dirección mediante la cual accederán los usuarios, y acuerdan si solo será accesible desde su red.
Acuerden el acceso con los responsables autorizados. Antes de concederlo, configuren y validen la autenticación y los controles de acceso de Grafana. Comprueben que cada lector tenga únicamente los permisos acordados y no pueda administrar ni escribir salvo autorización independiente.
Elijan una fuente de registros representativa y no sensible y un período breve. En Grafana Explore, seleccionen la fuente de datos Loki, el servicio y el intervalo de tiempo, y confirmen que aparecen registros con los campos esperados.
Revisen juntos un registro de muestra: marca de tiempo, zona horaria, nombres de campos y si algún campo contiene datos sensibles.
Acuerden juntos la ruta hacia el SIEM (véase la sección 4), con un responsable designado en cada parte.
Realicen una prueba de extremo a extremo: un evento conocido de un servicio de origen debe aparecer en el SIEM dentro del tiempo acordado. Documenten el resultado.

4. Envío de datos al SIEM

OEE IntelliSuite trabajará con su equipo de TI para establecer una conexión con su SIEM. Los equipos acordarán las fuentes de eventos, el formato y el transporte. Según el SIEM, se pueden evaluar OTLP, syslog, transferencia de archivos y extracción mediante API. La integración debe verificarse para su instalación.

El producto incluye un exportador opcional OTLP sobre HTTP que puede enviar registros, métricas y trazas a un segundo punto de destino. La configuración de despliegue del código fuente tiene requisitos específicos de transporte y autenticación; debe establecerse la compatibilidad con su SIEM o con un intermediario. Los equipos deben acordar el destino, el alcance de los datos, el cifrado y el método de acceso, y después configurar y probar la ruta completa antes de depender de ella.

Integración: el exportador OTLP opcional ofrece una posible ruta. Los equipos seleccionarán y probarán la ruta adecuada para su SIEM y sus requisitos de seguridad.

5. Historial de edición de producción (separado de los registros)

Pulse proporciona un historial de edición para las modificaciones admitidas de datos de producción en su base de datos de aplicación, que se muestra en la página de registro de ediciones de Pulse. Las entradas pueden incluir la hora de edición, el dispositivo, el tipo de elemento, la descripción, los valores modificados y la identidad del editor cuando esté disponible.

Cuando la autenticación está desactivada, el editor puede ser desconocido. Esto es un historial de operaciones, no una pista completa de auditoría de seguridad. No hemos verificado el reenvío de estos registros a Loki ni a un SIEM.

6. Qué puede supervisar y qué debe verificar

Seleccione la supervisión por fuente y confíe únicamente en los elementos confirmados durante la incorporación.

Eventos de identidad, como fallos de inicio de sesión o bloqueos de cuentas, pueden estar disponibles desde su proveedor de identidad si está configurado. Confirme la cobertura con su equipo de TI.
Eventos de aplicación, como cambios de permisos locales, fallos de inicio de sesión, exportaciones de datos y cambios de configuración, requieren comprobaciones de cobertura independientes. El código revisado no establece que estos se registren como eventos de seguridad; verifique sus fuentes y cobertura reales.
Estado operativo, como fallos de servicio, interrupciones de telemetría y volumen inusual, puede supervisarse mediante registros y métricas cuando se verifique durante la incorporación.
Ediciones de operaciones pueden revisarse en la página de registro de ediciones de Pulse si esa función está presente en su versión.

No se ha verificado un catálogo completo de eventos de registro de seguridad ni de identificadores de eventos. Los nombres e identificadores de eventos, el esquema, la retención y el reenvío automático deben confirmarse durante la incorporación. Esta guía sirve para la incorporación. No demuestra que se capture, retenga o reenvíe ningún evento específico.

7. Lista de verificación de incorporación

Acuerde y verifique cada elemento con su equipo de TI.

Responsables: una persona designada en su organización y otra en IntelliSuite para los registros, el acceso y la conexión al SIEM.
Acceso de lectura: cuentas nominativas, roles y el proceso de aprobación de cambios.
Red y transporte: rutas de red permitidas y cómo se cifra y autentica el tráfico.
Marcas de tiempo y campos: una muestra de registros reales con la zona horaria y los nombres de campos verificados.
Retención: cuánto tiempo conserva datos cada almacén en cada lado y quién los elimina.
Datos sensibles: qué campos deben filtrarse o excluirse antes de que los datos salgan de la instalación.
Umbrales de alerta: qué condiciones generan alertas y los valores de umbral acordados.
Prueba de extremo a extremo: seguimiento de un evento conocido desde el origen hasta el SIEM, con el resultado registrado.
Responsabilidad y escalamiento: quién responde a una alerta, cómo se escala y los tiempos de respuesta acordados.
Control de cambios: cómo se solicitan, aprueban y registran los cambios de configuración.