Detección e investigación

Detectar, relacionar, investigar, responder: lo que hace el SOC con cada señal

Las alertas de todas sus fuentes llegan a una única lista, clasificada y explicada por la IA de LuxGap. Las que cuentan el mismo ataque se convierten en una investigación redactada, y el acceso de una cuenta de Microsoft 365 comprometida puede cortarse en pocos minutos, por decisión de un analista.

Todas las capturas proceden de la consola de LuxGap SOC, sobre un cliente de demostración: la empresa Nordlux Manufacturing y sus datos son ficticios.

Incidentes y alertas

Una única lista para todo lo que llega a su organización, clasificada y explicada por la IA

Microsoft 365, Google Workspace, antivirus y EDR, servidores, red, vulnerabilidades, dark web, sitios web, copias de seguridad: todas las alertas llegan a la misma lista. A partir de la gravedad media, la IA de LuxGap clasifica cada una como «riesgo real» o «ruido» y redacta una explicación en francés, con los pasos que seguir.

Panel lateral de la alerta: la evidencia, la dirección de origen localizada (país, proveedor de alojamiento, VPN o Tor), el análisis de la IA y las acciones posibles
El ruido se archiva automáticamente; un error del modelo nunca archiva nada
Correlación: cinco intentos fallidos seguidos de un inicio de sesión correcto desde la misma dirección se convierten en una única alerta crítica
Su administrador se hace cargo de una alerta o la clasifica como falso positivo; el cierre definitivo corresponde al SOC

Ejemplo — cliente de demostración

Esta mañana, la contraseña filtrada del becario de TI se prueba desde la dirección que ya había tomado el control de la cuenta de un director cuatro días antes. La MFA detiene el inicio de sesión; la IA clasifica la alerta como «riesgo real», la relaciona con la primera intrusión y la desactivación de la cuenta queda a la espera de la validación de un analista.

Puesta en marcha: Incluido: las alertas proceden de las fuentes conectadas, sincronizadas cada hora.

Consola de LuxGap SOC: panel lateral de una alerta crítica con el análisis de la IA y la acción propuesta — Cliente de demostración, datos ficticios. Haga clic en una captura para ampliarla.

Consola de LuxGap SOC: lista de incidentes y alertas, de todas las fuentes — Cliente de demostración, datos ficticios. Haga clic en una captura para ampliarla.

Investigaciones con IA

Las alertas que cuentan el mismo ataque, reunidas y narradas

Cada 10 minutos, el SOC relaciona las alertas de un mismo cliente que comparten una cuenta, una dirección IP, un dispositivo, un dominio o un archivo con menos de 72 horas de diferencia. La IA de LuxGap lee el expediente de evidencias y redacta el relato del incidente: qué ha pasado, en qué orden, con qué gravedad y qué hay que hacer.

Cronología, grafo de las cuentas, direcciones y dispositivos afectados, técnicas de ataque de MITRE ATT&CK
La IA puede elevar la gravedad de una investigación, nunca reducirla
Los datos se quedan en LuxGap: estas investigaciones no pasan por ningún proveedor de IA externo
No se ejecuta nada sin un analista: las acciones propuestas pasan al módulo Respuesta, donde se validan o se rechazan
Búsqueda del analista: una dirección, un dominio, una IP o una CVE buscados de una sola vez en todo lo que el SOC ya ha almacenado (filtraciones, dominios falsos, superficie expuesta, ransomware, caza de amenazas, vigilancia), sin ninguna petición fuera del SOC; el término buscado nunca se conserva

Ejemplo — cliente de demostración

Seis alertas repartidas a lo largo de cuatro días (pulverización de contraseñas, inicio de sesión IMAP sin MFA, regla que reenvía el correo, cuenta señalada como comprometida, inicio de sesión de un administrador desde Nigeria, contraseña filtrada probada esta mañana) forman una única investigación crítica: «Cuenta de Jean Thill comprometida con una contraseña filtrada; el atacante apunta ahora a otras cuentas».

Puesta en marcha: Incluido, nada que activar. Las investigaciones son la herramienta de los analistas de LuxGap: usted recibe sus conclusiones y las acciones que emprender.

Consola de LuxGap SOC: relato de una investigación crítica redactado por la IA de LuxGap — Cliente de demostración, datos ficticios. Haga clic en una captura para ampliarla.

Consola de LuxGap SOC: cronología y grafo de las entidades de una investigación — Cliente de demostración, datos ficticios. Haga clic en una captura para ampliarla.

Respuesta a incidentes

Una cuenta de Microsoft 365 comprometida, cortada en minutos en lugar de horas

Cuando una cuenta es tomada por un atacante, el SOC puede cortar sus sesiones, desactivarla y volver a activarla una vez cambiada la contraseña. La detección propone la acción, un analista la valida y un servicio independiente la ejecuta tras volver a comprobar todas las reglas de seguridad.

No se ejecuta nada sin su mandato firmado ni su consentimiento a una aplicación dedicada, limitada a tres permisos
Nunca sobre una cuenta de administrador, una cuenta sincronizada desde su directorio local o una cuenta que usted haya protegido
Cada acción queda registrada y usted recibe un aviso por correo electrónico
Su administrador consulta el mandato, el consentimiento y el historial de acciones en la consola

Ejemplo — cliente de demostración

Las sesiones de Jean Thill se cortan y su cuenta se desactiva 32 minutos después de la intrusión; se reactiva al día siguiente, con la contraseña cambiada. El corte solicitado sobre la cuenta de administrador de Tom Kremer lo rechaza la salvaguarda: esa cuenta se trata con la CISO.

Puesta en marcha: Conector de Microsoft 365, mandato de respuesta anexo al contrato y consentimiento de su administrador global a la aplicación «LuxGap SOC — Réponse».

Consola de LuxGap SOC: historial de las acciones de respuesta, validadas, ejecutadas o rechazadas — Cliente de demostración, datos ficticios. Haga clic en una captura para ampliarla.

Consola de LuxGap SOC: mandato, consentimiento, políticas y cuentas protegidas del módulo Respuesta — Cliente de demostración, datos ficticios. Haga clic en una captura para ampliarla.

Comportamiento por cuenta

Detectar al atacante que inicia sesión con credenciales legítimas

Una contraseña robada no activa ninguna regla. Por eso el SOC aprende lo que hace habitualmente cada cuenta (país, operador, dispositivo, modo de conexión, horarios, volúmenes, acciones sensibles) y puntúa cada hora de actividad: cuanto más improbable es para esa cuenta, más peso tiene.

Una cuenta se aprende en 14 días; un hábito solo se retiene tras tres días distintos, para que el comportamiento de un atacante no se vuelva habitual
Una hora muy inusual genera una alerta, cinco como máximo al día y por cliente
Un desplazamiento legítimo se marca como «es normal» y deja de alertar
Fuentes: inicios de sesión y registros de auditoría de Microsoft Entra ID, actividad de Google Workspace

Ejemplo — cliente de demostración

El inicio de sesión IMAP de Jean Thill en plena noche, desde Nigeria, acumula un país, un operador y un protocolo nunca vistos: la hora se señala. El viaje de la DPO a Lisboa, en cambio, se marca como «es normal».

Puesta en marcha: Desactivado por defecto. LuxGap lo activa tras la evaluación de impacto validada por su DPO y la información al personal (Código del Trabajo, art. L.261-1).

Consola de LuxGap SOC: cuentas supervisadas, aprendizaje y horas inusuales por cuenta — Cliente de demostración, datos ficticios. Haga clic en una captura para ampliarla.

Registros brutos

Todos sus registros conservados y consultables durante un incidente

Los registros de sus servicios en la nube, cortafuegos, servidores y aplicaciones se recopilan en un índice propio de su organización. Durante un incidente, el analista busca en todas las fuentes a la vez y reconstruye la cronología de una cuenta, una dirección o un dispositivo.

Conservación a su elección: 30, 60, 90, 180 o 365 días, aplicada al día exacto
Búsqueda en todas las fuentes, de una hora a 90 días, exportación a CSV
Cronología de 1 h, 6 h, 24 h o 72 h en torno a un evento, exportable con una huella SHA-256 como evidencia
Dieciocho reglas de detección cada 5 minutos, de ellas seis para la sonda de red y cuatro para los informes recibidos por correo: pulverización de contraseñas, cuenta comprometida, elevación de privilegios, uso compartido público, autenticación heredada, reutilización de contraseñas filtradas
Una fuente que lleva más de 6 horas en silencio genera una alerta; cada búsqueda queda registrada

Ejemplo — cliente de demostración

Se recopilan nueve fuentes: inicios de sesión, auditoría y detecciones de riesgo de Entra ID, alertas de Defender, eventos y alertas de Sophos, registros de los servidores y actividad en la consola.

Puesta en marcha: Conectores de sus servicios y, para los registros de red y de servidores, una máquina de recopilación instalada en sus instalaciones y conectada al SOC mediante un túnel cifrado saliente.

Consola de LuxGap SOC: fuentes de registros brutos recopiladas y su estado — Cliente de demostración, datos ficticios. Haga clic en una captura para ampliarla.

Y también

Los demás módulos de la familia

Vigilancia y caza de amenazas

Cuando se publica una amenaza, el SOC comprueba si ya le ha afectado

Los indicadores de compromiso publicados por el CIRCL, el centro de respuesta luxemburgués, se importan cada 6 horas y se buscan en sus registros de los 90 días anteriores y, después, de forma continua. La vigilancia agrega además los avisos del CERT-FR, de la CISA, de Microsoft y de ESET, resumidos en francés.

Veredicto por cliente: afectado, no afectado en el período cubierto, o no verificable, con el motivo
Un analista valida cada coincidencia antes de que se le comunique
Resumen diario y clientes afectados identificados por fabricante y por producto

Ejemplo

Una fuente publica la dirección de un servidor de mando y control; la caza la encuentra en sus conexiones del mes pasado; el analista confirma y le avisa.

Puesta en marcha: Incluido en cuanto se recopilan sus registros brutos.

Informes recibidos por correo electrónico

Los informes que nadie lee por completo, leídos para usted

Cortafuegos, antivirus, copias de seguridad, supervisión: sus herramientas envían informes por correo electrónico. Usted los reenvía a un buzón dedicado; el SOC lee el cuerpo y los archivos adjuntos (PDF, CSV, Excel, HTML), los incorpora a sus registros y solo retiene lo que importa.

Cuatro reglas: error señalado, pico de líneas bloqueadas, objetivo que el SOC sabe vulnerable o expuesto, herramienta que deja de enviar
Solo se leen los remitentes que usted autoriza
Resumen a petición de la IA de LuxGap, sin proveedor externo

Ejemplo

Su cortafuegos envía un informe cada noche. El día en que sus líneas bloqueadas se triplican, salta una alerta; el día en que se calla, también.

Puesta en marcha: Con LuxGap: creación del buzón de informes y lista de remitentes autorizados.

Estos módulos, sobre su propio perímetro

Describa lo que desea monitorizar: presupuesto en firme en 24 h, contrato anual, perímetro garantizado al 100 %.

Solicitar la conexión Ver los precios

¿Está sufriendo un incidente ahora mismo? Llame al +352 621 583 116.