Observabilidad de la propia plataforma de seguridad
Una detección que dejó de funcionar no hace ruido: simplemente deja de detectar ataques. Observar el propio pipeline es lo que convierte esa falla silenciosa en una alerta.
Qué es
La plataforma de seguridad es un sistema en producción como cualquier otro y necesita sus propias métricas, logs y traces. La diferencia es el costo de la falla silenciosa: si el pipeline se atrasa una hora, nadie recibe un error, pero todo ataque de ese período queda sin detección.
Las señales que importan
- Lag del consumidor: cuánto va el procesamiento por detrás del final del log. Es el indicador más directo de detección atrasada.
- Latencia de extremo a extremo: desde el evento en el borde hasta la decisión, en percentiles (p50, p95, p99).
- Tasa de errores y de eventos descartados o enviados a la .
- Saturación: uso de CPU y memoria y profundidad de las colas internas.
- Frescura: tiempo desde el último evento por fuente. Una fuente que dejó de enviar es una falla, no calma.
Alertar sobre el silencio
La alerta más valiosa es la de ausencia: "la fuente X no envió nada en los últimos 10 minutos". En Prometheus, esto se escribe con la métrica de eventos recibidos. El ejemplo muestra una alerta por lag alto y otra por fuente silenciosa.
groups:
- name: security-pipeline
rules:
- alert: DetectionLagHigh
expr: max(pipeline_consumer_lag{group="detect-login-failures"}) > 50000
for: 5m
labels: { severity: page }
annotations:
summary: "Detección atrasada: lag por encima de 50k eventos desde hace 5 min"
- alert: EdgeSourceSilent
expr: sum(rate(edge_events_received_total[5m])) by (source) == 0
for: 10m
labels: { severity: page }
annotations:
summary: "Fuente {{ $labels.source }} sin eventos desde hace 10 min"Traces para encontrar el cuello de botella
Cuando la latencia de extremo a extremo sube, un trace muestra en qué etapa se gastó el tiempo (consumo, enriquecimiento, llamada externa, escritura). Con OpenTelemetry, el contexto del trace acompaña al evento entre los servicios, incluso a través de colas, y el mismo patrón sirve a todos los equipos.
SLOs de la plataforma
Trata la plataforma como un producto con metas: por ejemplo, "el 99% de los eventos se convierte en decisión en menos de 60 segundos" y "ninguna fuente crítica silenciosa por más de 10 minutos". Las metas dan un criterio objetivo para priorizar el trabajo de confiabilidad frente a funcionalidades nuevas.
conexiones en el mapa
- Confiabilidad a escala: idempotencia, reintentos y backpressurese mide conObservabilidad de la propia plataforma de seguridad
actualizado el 14/10/2026 · fuentes para profundizar · reportar un error
en otros dominios
- SLOs de SOC y tuning continuosecopsSLOs del SOC y SLOs de la propia plataforma
Estudia antes
pon a prueba lo que entendiste
Cargando preguntas…