Reenvío de Alertas a SIEM

Suricatavel incluye un Subsistema de Reenvío a SIEM para transmitir eventos, alertas de Suricata e inteligencia de amenazas enriquecida a Centros de Operaciones de Seguridad (SOC) externos.

El sistema opera con almacenamiento en búfer local, reintentos automáticos y canales de transporte cifrados, y puede diferir la transmisión hasta que la inteligencia de amenazas se haya recopilado por completo.

---

Protocolos y formatos soportados

Configure canales de salida utilizando los siguientes estándares:

Formato	Transporte	Sistemas de Destino Comunes
JSON	TCP, TCP+TLS, UDP	Wazuh, Logstash, Elastic, Sentinel
Common Event Format (CEF)	TCP, TCP+TLS, UDP	Micro Focus ArcSight
Log Event Extended Format (LEEF)	TCP, TCP+TLS, UDP	IBM QRadar
RFC 5424 (Syslog)	TCP, TCP+TLS, UDP	Receptores Syslog estándar, Rsyslog
Splunk HEC	HTTP, HTTPS	Splunk HTTP Event Collector

---

Flujo de configuración paso a paso

Para establecer un destino SIEM:

1. Navegue a Configuración > Reenvío SIEM en el Panel de Administración.
2. Haga clic en Agregar destino de reenvío en la sección Salidas SIEM (SIEM Outputs).
3. Complete los detalles principales de la salida:
   • Nombre: Un identificador único (por ejemplo, Colector Wazuh de Producción).
   • Formato: Seleccione entre JSON, CEF, LEEF, RFC5424 o Splunk HEC.
   • Protocolo: Elija TCP, TCP+TLS (cifrado) o UDP.
   • Host y Puerto: Introduzca los detalles de red del receptor SIEM.
   • Modo de Reenvío: Establezca en Global para enviar todas las alertas automáticamente, o Políticas (Policy) para reenviar solo mediante acciones específicas de políticas.
4. (Opcional) Configure los Ajustes de TLS:
   • Si utiliza TCP+TLS o Splunk HEC a través de HTTPS, cargue su Certificado de Cliente (.pem / .crt) y la Clave Privada de Cliente (.pem / .key).
   • Active Verificar pares (Verify Peer) para validar estrictamente la cadena de certificados, o Permitir autofirmados si usa certificados locales.
5. Haga clic en Probar conexión (Test Connection) para verificar la accesibilidad inmediata desde el servidor de Suricatavel.
6. Una vez validada, haga clic en Guardar.

---

Característica avanzada: Reenvío diferido para enriquecimiento

Para garantizar que sus paneles SIEM de destino reciban metadatos completos de inteligencia de amenazas de inmediato, habilite el Reenvío Diferido:

1. En la configuración de salida, active Incluir enriquecimiento (Include Enrichment).
2. Active Esperar al enriquecimiento (Wait for Enrichment).
3. Establezca el Tiempo de espera de enriquecimiento (por defecto: 120 segundos).

Cómo funciona:

sequenceDiagram
    participant E as Ingestión de Alertas
    participant B as Trabajo de Enriquecimiento
    participant S as Búfer SIEM en BD
    participant O as Destino SIEM
    E->>B: Inicia búsqueda en Censys/Shodan/AbuseIPDB
    E->>S: Coloca alerta en cola diferida
    alt Enriquecimiento se completa
        B->>S: ¡Completado!
        S->>O: Reenvía evento enriquecido
    else Se alcanza el tiempo de espera (ej. 120s)
        S->>O: Reenvía alerta original sin datos de enriquecimiento
    end

---

Integraciones de destino (Plantillas de despliegue)

Suricatavel incluye plantillas de integración preconfiguradas que puede descargar directamente desde la tarjeta de salida SIEM en su Panel de Administración una vez guardada:

A. Decodificadores Wazuh

• Instalación: Descargue el archivo de plantilla wazuh-decoder-suricatavel.xml.
• Acción: Copie el contenido en el directorio de decodificadores personalizados de su Wazuh Manager:

  sudo cp wazuh-decoder-suricatavel.xml /var/ossec/etc/decoders/local_decoder.xml
  sudo systemctl restart wazuh-manager

B. Ingestión en Splunk

• Instalación: Descargue el recurso splunk-props.conf.
• Acción: Aplique esta directiva en el archivo props.conf de su Splunk Heavy Forwarder o Indexer bajo el tipo de fuente HEC configurado para analizar los encabezados de Suricatavel de forma nativa.

---

Procesos en segundo plano y confiabilidad

Para garantizar un alto rendimiento y evitar la pérdida de alertas durante cortes de red, Suricatavel gestiona colas mediante demonios en segundo plano.

Comandos de revisión de estado

Inspeccione el estado de salud de los destinos SIEM:

# Actualiza el estado de salud de todos los destinos SIEM
php artisan suricatavel:refresh-siem-health