VPN y SIEM: recopilación, normalización y verificación de eventos

Para SIEM empiece con UTC, usuario, tipo, resultado y sesión. Pruebe entrega, deduplicación y reloj; valide correlaciones con eventos de prueba, no casos inventados.

Tipos clave de registros VPN

• Autenticación: ingresos exitosos/fallidos, motivos de rechazo (contraseña incorrecta, fallo en MFA, grupo no permitido, dispositivo fuera de política).
• Sesiones: inicio/cierre, duración, dirección asignada, bytes entrantes/salientes, protocolo del túnel, modo split/full-tunnel.
• Administración: cambio de configuración, actualización de certificados, carga de firmware, activación/desactivación de módulos, intentos de acceso administrativo.
• Infraestructura: estado de interfaces, fallo de aceleración hardware, errores IPSec (negociaciones, SA), fallos TLS, reinicio de demonios.

Esquema mínimo de normalización

• event.category: authentication, session, configuration
• event.action: vpn_auth_success, vpn_auth_failure, vpn_session_start, vpn_session_stop, vpn_config_change
• user.name, user.domain, user.id
• src.ip, src.port, src.geo.country, src.asn
• dst.ip (gateway), assigned.ip (dirección del cliente VPN), session.id
• tunnel.protocol (openvpn, wireguard, ikev2, ssl-vpn, l2tp, sstp), mfa.result, device.os, device.id
• bytes.in, bytes.out, duration, reason, status

Por qué es crítico

• Gestión de acceso: visibilidad de quién, cuándo y desde dónde se conecta. Combinado con IdP, PAM y EDR, brinda control contextual.
• Detección de amenazas: ataques por spray de contraseñas, fuerza bruta, movimientos imposibles, sesiones desde TOR/proxies, picos de tráfico, dispositivos fuera de política.
• Investigación: reconstrucción de la línea temporal, correlación con correo, proxy, DNS y EDR.
• Compliance: evidencias para auditorías, comprobantes del uso de MFA, políticas de acceso y medidas de respuesta.

Comprobaciones prácticas

Empiece con un inventario de usuarios, aplicaciones, sedes y flujos de datos. Asigne responsables de acceso y revocación. Una VPN aporta un canal de red; no sustituye gestión de dispositivos, identidad, resiliencia ni evaluación de requisitos aplicables. No prometa cumplimiento legal solo por un protocolo o país del servidor.

Verifique compatibilidad de las versiones concretas de pasarela, cliente y proveedor de identidad. Autorice solo rutas y roles necesarios; una autenticación correcta no debe abrir toda la red. Use MFA compatible, verificación de certificados y almacenamiento protegido de secretos. Confirme las integraciones en documentación del producto.

Haga un piloto con un grupo limitado y recursos de prueba. Compruebe acceso normal, denegación, cambio de dispositivo, revocación, fallo de nodo y recuperación. Acuerde criterios de aceptación: tiempo de recuperación, pérdidas, aplicaciones disponibles y registros completos. Conserve la configuración inicial y un plan de reversión. Defina campos mínimos de registro, retención y permisos; evite recopilar contenido de tráfico sin necesidad.

Documentación oficial

• Splunk Documentation