Telemetría de borde y de aplicación
Una buena detección empieza con buenos datos: un pipeline que recibe el tráfico del borde y de la aplicación, lo normaliza, lo enriquece y lo guarda de forma que se pueda consultar en segundos.
Qué es
La telemetría de borde es el conjunto de eventos que describen el tráfico que llega a su aplicación: cada solicitud en la CDN y en el , con el resultado de la inspección, y los eventos de la propia aplicación (inicio de sesión, error, cambio de estado). Es la materia prima de toda detección y de toda métrica.
Sin ella, el SOC opera a ciegas o depende de paneles prefabricados que responden las preguntas de otros, no las suyas.
El pipeline, de punta a punta
Pensar en etapas ayuda a ubicar dónde nace un problema cuando la detección falla:
- Ingesta: entrega de los logs por lotes o en streaming desde el borde (por ejemplo, un servicio de push de logs) y desde la aplicación.
- Normalización: esquema único de campos (timestamp, IP, ruta, método, estado, user agent, resultado del WAF), independiente del origen.
- Enriquecimiento: ASN, país, reputación, score de bot, identificador de cuenta, versión de la aplicación.
- Almacenamiento: tablas particionadas por tiempo, pensadas para consultar por ventana.
- Detección: consultas y reglas sobre los datos (tema del tópico de ingeniería de detección).
- Acción y métrica: el resultado se convierte en bloqueo, alerta o indicador, y vuelve al pipeline para cerrar el ciclo.
Un evento normalizado
El esquema es un contrato. Cuando todo evento tiene los mismos campos con los mismos nombres, una detección escrita una vez funciona para cualquier fuente. Un ejemplo sencillo:
{
"ts": "2026-10-13T14:03:21.482Z",
"client_ip": "203.0.113.42",
"asn": 64500,
"country": "BR",
"method": "POST",
"host": "api.ejemplo.com",
"path": "/api/login",
"status": 401,
"user_agent": "python-requests/2.31",
"bot_score": 8,
"waf_action": "log",
"waf_rule": "login-ratelimit-v2",
"account_id": "u_18273"
}Calidad de los datos
Tres problemas aparecen siempre: campos ausentes (la detección deja de funcionar en silencio), relojes desalineados (ventanas erróneas) y volumen perdido (un pipeline que descarta eventos bajo carga). Conviene monitorear el propio pipeline: latencia de ingesta, conteo por fuente y tasa de eventos sin campos esenciales. Una detección sobre datos incompletos da falsa confianza.
conexiones en el mapa
- Telemetría de borde y de aplicaciónrevelaAtaques L7: qué buscar
- Telemetría de borde y de aplicaciónalimentaIngeniería de detección
- Escala: telemetría, cardinalidad y costosustentaTelemetría de borde y de aplicación
actualizado el 14/10/2026 · fuentes para profundizar · reportar un error
en otros dominios
- Análisis de logs y construcción de una línea de tiemporesponsesolo se puede reconstruir lo que se recolectó
- Observabilidad: métricas, logs y tracesdevopsla misma disciplina de telemetría, de plataforma y de seguridad
- Logging & detection - señales y alertascloudsecla misma idea de señal, aplicada al tráfico L7
Desbloquea
pon a prueba lo que entendiste
Cargando preguntas…