Glosario de seguridad

Siglas y nombres en inglés (A~Z)

• A Agente de IA
• B BAS
• C CVE, CVSS
• E EDR, EPSS
• I IoC, ISMS-P
• K KEV
• M MCP, MDR, MITRE ATT&CK
• N N2SF
• R RAG
• S SBOM, SIEM, SOAR, SOC
• T TTP
• U UEBA
• X XDR

SOC (Security Operations Center, centro de operaciones de seguridad)

El equipo, y la forma de operar, que revisa las alertas de seguridad, las evalúa y ordena la respuesta. Puede estar dentro de la empresa o encargarse a un proveedor externo. Cubrir las 24 horas exige personal por turnos, y por eso a veces se reparte: el equipo interno se ocupa del horario laboral y un proveedor externo, de las noches y los fines de semana.

SOAR (Security Orchestration, Automation and Response)

Herramienta que automatiza con playbooks las tareas que alguien repetía cada vez que entraba una alerta. Por ejemplo, cuando llega un correo reportado como phishing, consulta la reputación de la URL, busca quién más recibió el mismo mensaje y lo borra de todos los buzones, en ese orden. Si el playbook no encaja con el entorno real, la automatización puede agravar un incidente, así que las acciones de mayor impacto llevan un paso de aprobación.

XDR (Extended Detection and Response)

Familia de productos que, además del endpoint, reúne datos del correo, la red, la nube y los sistemas de identidad y los enlaza en un solo incidente. Cada fabricante lo define de forma algo distinta, así que al comparar ofertas pregunte siempre qué fuentes de datos recibe de serie y si admite registros de productos de otros fabricantes.

UEBA (User and Entity Behavior Analytics)

Análisis que toma como línea base el comportamiento habitual de usuarios, servidores y cuentas y busca lo que se aparta de ella. Detecta casos como una cuenta de finanzas que siempre se conecta por la mañana y de pronto accede de madrugada a un servidor de desarrollo, o una persona que descarga más de diez veces los archivos de costumbre. Fijar la línea base lleva varias semanas, y cuando cambian los patrones de trabajo, como en una reorganización o un cierre contable, aumentan las alertas.

Falso positivo (False Positive)

Alerta que toma una actividad legítima por un ataque. Cada una parece poca cosa, pero cuando se acumulan los analistas empiezan a revisar las alertas por encima, y entre ellas se pierde el ataque real. Si se desactivan reglas para reducir los falsos positivos, suben los falsos negativos, así que hay que ajustarlos mirando ambos a la vez.

Búsqueda de amenazas (Threat Hunting)

Revisar los registros a mano sin esperar a que salte una alerta, partiendo de la hipótesis de que el atacante ya puede estar dentro. Se plantea una pregunta como "¿se ha ejecutado alguna vez en nuestro entorno esta técnica que usa un grupo documentado hace poco?" y se comprueba con los datos del EDR y del SIEM. Los patrones que aparecen en la búsqueda hay que convertirlos en reglas de detección para no tener que buscarlos a mano otra vez.

CVE (Common Vulnerabilities and Exposures)

Identificador único que recibe cada vulnerabilidad publicada. Se compone del año y un número de serie, como CVE-2021-44228, y lo asignan las autoridades de numeración (CNA) aprobadas por el programa CVE. El número solo sirve para nombrar la vulnerabilidad; la severidad se evalúa aparte.

EPSS (Exploit Prediction Scoring System)

Modelo que estima, con un valor entre 0 y 1, la probabilidad de que una CVE se explote en los próximos 30 días. Lo gestiona FIRST, igual que CVSS, y las puntuaciones se actualizan a diario. Poniendo una al lado de la otra la severidad (CVSS) y la probabilidad de explotación (EPSS), decidir qué parchear primero resulta mucho más sencillo.

SBOM (Software Bill of Materials)

Lista de los componentes de código abierto y las bibliotecas que incluye un software, con sus versiones. Se elabora para poder responder enseguida, cuando aparece una vulnerabilidad nueva, a la pregunta "¿en cuáles de nuestros productos está esta biblioteca?". Los formatos más usados son SPDX y CycloneDX, y solo resulta útil de verdad si se genera automáticamente en cada build.

Zero Trust (confianza cero)

Principio de seguridad según el cual nadie merece confianza solo por estar en la red interna: en cada solicitud de acceso se comprueban el usuario, el dispositivo y el contexto, y se concede únicamente lo necesario. NIST SP 800-207 es el documento de referencia que lo define, y en Corea el Ministerio de Ciencia y TIC y la KISA han publicado directrices. Cambiarlo todo de golpe es difícil, de modo que normalmente se avanza por etapas, empezando por la identidad y el control de acceso.

ISMS-P (certificación del sistema de gestión de la seguridad de la información y de la protección de datos personales)

Certificación coreana que gestiona la KISA y que añade al sistema de gestión de la seguridad de la información (ISMS) requisitos para cada fase del tratamiento de datos personales. Según la Ley de Redes de Información y Comunicaciones, la certificación ISMS es obligatoria para las empresas que superan cierto tamaño; la ISMS-P se elige cuando se quiere certificar también la protección de datos personales. La auditoría se fija más en las evidencias de la operación real que en los documentos, y una política escrita sin registros que la respalden acaba figurando como no conformidad.