Alerta SIEM

En este apartado se gestionan las alertas que llegan al SIEM individual.

Cuenta con tres secciones: Sin resolver, En proceso y Resueltas, que permiten organizar y seguir el estado de cada alerta.

Este módulo está sincronizado con el SIEM General, por lo que cualquier cambio realizado aquí (como resolver una alerta) se reflejará automáticamente también en el panel general.

En el panel de Gestión de Alerta es donde se analiza y gestiona cada alerta detectada.

Dentro de este panel puedes realizar las siguientes acciones:

• Cambiar el título de la alerta: permite renombrarla para identificarla con mayor precisión. Si no se modifica, se mantiene el título por defecto.
• Cambiar el estado de la alerta: puedes seleccionar entre Sin resolver, En proceso o Resuelta, según el progreso en la gestión del incidente.
• Asignar responsable: opción para cambiar la persona asignada, dejando constancia de quién ha gestionado o resuelto la alerta.
• Información general: muestra detalles técnicos como el dominio afectado, la IP del atacante y el payload completo.

Ejemplo de payload de alerta

{
  "schema_version": "1.0",
  "event_version": "1.0",
  "event_uuid": "dce1076e-b472-4ce8-b960-6c389169a364",
  "site_id": "1064b1e1-7916-4d13-9cbd-ab86f6fb55ea",
  "domain": "http://localhost/wordpress/",
  "event_type": "suspicious_query",
  "severity": "critical",
  "occurred_at": "2025-10-13T14:17:35.009+00:00",
  "detected_at": "2025-10-13T14:17:35.009+00:00",
  "summary": "Suspicious Query Detected: Code Execution",
  "description": "Code Execution attack attempt detected from IP 127.0.0.1 with 2 suspicious pattern(s)",
  "details": {
    "ip_address": "72.129.237.221",
    "user_agent": "Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0",
    "attack_type": "Code Execution",
    "request_uri": "/wordpress/wp-login.php?loggedout=system(%22whoami%22)",
    "request_method": "GET"
  },
  "status": "open",
  "count": 1
}

Mitigación

En el apartado Mitigación encontrarás un botón de acceso rápido que permite bloquear directamente la IP responsable de la alerta, facilitando una respuesta inmediata ante intentos de ataque o actividad maliciosa.

También se incluye el apartado Nota de resolución, donde la persona que gestiona la alerta puede dejar comentarios o documentar el proceso de resolución.

Este campo permite registrar las acciones realizadas, observaciones técnicas o decisiones tomadas, manteniendo un historial claro y trazable de cómo se resolvió la incidencia.