Correlacion de logs.

Vincular eventos de varias fuentes de logs por campos comunes, ventanas de tiempo o secuencia para revelar actividad multietapa que un solo log no muestra. Pertenece a la categoría de Defensa y operaciones en ciberseguridad.

Vincular eventos de varias fuentes de logs por campos comunes, ventanas de tiempo o secuencia para revelar actividad multietapa que un solo log no muestra.

La correlacion de logs la realizan los motores de reglas de los SIEM y las cadenas de deteccion que enlazan eventos relacionados entre hosts, usuarios y sensores de red. Las reglas suelen unir por identificadores como nombre de usuario, IP de origen, nombre de host o hash de proceso y aplican restricciones temporales (por ejemplo cinco logins fallidos seguidos de uno correcto en diez minutos). Los motores con estado siguen sesiones, cuentan ocurrencias y disparan alertas cuando se cumple un patron. Una buena correlacion reduce el ruido frente a las firmas de un solo evento y muestra el avance de la kill-chain. Los retos son la normalizacion de esquemas, el desfase horario, las claves de alta cardinalidad y reglas que generalicen sin generar demasiados falsos positivos.

Las defensas contra Correlacion de logs combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: Correlacion de eventos, Regla de correlacion.