{"id":33036,"date":"2025-05-19T00:53:37","date_gmt":"2025-05-18T22:53:37","guid":{"rendered":"https:\/\/www.codemotion.com\/magazine\/?p=33036"},"modified":"2025-05-19T13:10:57","modified_gmt":"2025-05-19T11:10:57","slug":"arquitectura-de-datos-para-la-gestion-de-la-ciberinteligencia","status":"publish","type":"post","link":"https:\/\/www.codemotion.com\/magazine\/es\/backend-es\/arquitectura-del-software\/arquitectura-de-datos-para-la-gestion-de-la-ciberinteligencia\/","title":{"rendered":"Arquitectura de datos para la gesti\u00f3n de la ciberinteligencia"},"content":{"rendered":"\n

Los datos son, sin discusi\u00f3n, el combustible de la econom\u00eda digital. Pero su verdadero poder emerge solo cuando los transformamos en inteligencia accionable y estructurada<\/strong>. En el \u00e1mbito de la ciberinteligencia<\/strong>, disponer de una arquitectura de datos robusta \u2014que siga est\u00e1ndares de intercambio como STIX 2.1<\/strong> y TAXII 2.1<\/strong>\u2014 permite detectar amenazas, anticipar campa\u00f1as adversarias y colaborar eficazmente con terceros. <\/p>\n\n\n\n

Sobre esto y mucho m\u00e1s tratar\u00e1 la charla \u201cArquitectura de datos para la gesti\u00f3n de la ciberinteligencia\u201d, donde Jaime Casado y Daniel A. de Next Digital <\/strong>nos explicar\u00e1n c\u00f3mo las estructuras de datos pueden transformar la gesti\u00f3n y an\u00e1lisis de informaci\u00f3n no estructurada en entornos de ciberinteligencia<\/p>\n\n\n\n

Esta charla se celebrar\u00e1 en el contexto de la Codemotion Madrid 2025, m\u00e1s concretamente el mi\u00e9rcoles 21 de mayo en el plat\u00f3 5 a las 11:45<\/strong>. Si a\u00fan no tienes tus entradas, te recordamos que todav\u00eda est\u00e1s a tiempo de comprarlas por aqu\u00ed<\/a>.<\/p>\n\n\n\n

Contexto de la charla<\/h2>\n\n\n\n

En ciberseguridad trabajamos con una gran cantidad de datos no estructurados<\/strong>: registros de red, repositorios OSINT, foros clandestinos, telemetr\u00eda de endpoints, archivos multimedia (IMINT) y feeds de inteligencia cerrados. Una arquitectura eficaz debe:<\/p>\n\n\n\n

    \n
  1. Ingerir<\/strong> fuentes heterog\u00e9neas en tiempo real (p. ej., brokers<\/em> Kafka con conectores para APIs, logs y capturas de red).<\/li>\n\n\n\n
  2. Normalizar y enriquecer<\/strong> los eventos (ETL\/ELT con Spark Structured Streaming, enriquecimiento STIX\/TAXII y taxonom\u00edas MITRE ATT&CK).<\/li>\n\n\n\n
  3. Almacenar<\/strong> datos crudos y refinados en data lakehouses<\/em> (Delta Lake o Apache Iceberg) y grafos (Neo4j) para relaciones entidad-atributo.<\/li>\n\n\n\n
  4. Procesar<\/strong> correlaciones y anal\u00edtica avanzada (detecci\u00f3n de anomal\u00edas con MLflow, b\u00fasquedas Sigma\/ELK, grafos de ataque).<\/li>\n\n\n\n
  5. Visualizar y orquestar<\/strong> hallazgos (TIP OpenCTI, TheHive + Cortex, paneles Kibana\/Grafana, flujos SOAR) para que el analista act\u00fae con contexto.<\/li>\n<\/ol>\n\n\n\n

    De esta forma podremos identificar patrones, anomal\u00edas y correlaciones que podr\u00edan convertirse en indicadores de amenazas cibern\u00e9ticas o actividades malintencionadas<\/strong>. La clave est\u00e1 en dise\u00f1ar estructuras que permitan no solo almacenar estos datos, sino tambi\u00e9n establecer conexiones entre ellos.<\/p>\n\n\n\n

    \u00bfPor qu\u00e9 es necesario estructurar dicha informaci\u00f3n?<\/h2>\n\n\n\n

    No importa si hablamos de fuentes abiertas OSINT<\/strong> (Open Source Intelligence), fuentes cerradas y de acceso restringido o de datos extra\u00eddos de im\u00e1genes, conocidos como IMINT (Imagery Intelligence)<\/strong>. Tampoco si se tratan de logs internos o feeds de amenazas. El objetivo de una arquitectura de datos es ofrecer la infraestructura necesaria para almacenar estos datos de tal manera que estos se puedan consultar y analizar<\/strong> de la forma m\u00e1s sencilla, r\u00e1pida, fiable y pr\u00e1ctica posible.<\/p>\n\n\n\n

    Adem\u00e1s en el \u00e1mbito de la ciberinteligencia se debe tener en cuenta que la informaci\u00f3n ser\u00e1 compartida por multitud de profesionales y equipos, y es por esto que debe existir una estructura de datos est\u00e1ndar  para que dichos equipos, CERTs, o ISACs puedan consumirla sin fricciones.<\/p>\n\n\n\n

    Si conseguimos dise\u00f1ar una estructura de datos eficiente y f\u00e1cilmente gestionable, ser\u00e1 m\u00e1s sencillo aplicar filtros, correlaciones y visualizaciones que permiten extraer patrones y detectar amenazas<\/strong>. Los datos nos \u201chablar\u00e1n\u201d y nos permitir\u00e1n:<\/p>\n\n\n\n