El documento describe la transición de Cellnex de un Centro de Operaciones de Seguridad (SOC) a un Equipo de Respuesta a Incidentes de Seguridad (CSIRT). La transición se debió al crecimiento de Cellnex y la necesidad de automatizar procesos y tareas para mejorar la eficiencia. Cellnex implementó Splunk SIEM y SOAR para automatizar la creación, remediación y cierre de incidentes. Esto permitió al personal concentrarse en tareas estratégicas y mejorar KPIs como tiempos de resolución y correos electrónicos anal

1. © 2023 SPLUNK INC.
○Country Head of Security Cellnex (España)
Global SOC Manager Cellnex
Daniel Reina
Global CSIRT Team Leader, Cellnex
Samuel Noval

2. © 2023 SPLUNK INC.
De NOC a
CSIRT
Octubre 2023

3. © 2023 SPLUNK INC.
whoarewe
Daniel Reina
• Máster en Ingeniería Informática
• Máster en Ciberseguridad y Seguridad de la Inf.
• GCFA, CEH, CISM, ITIL
• Country Head of Security Cellnex (España)Global
SOC Manager Cellnex
– Especialista Ciberseguridad Cellnex
• Pasiones:
– Aprender
– Juegos de construcción
– Integrar “cosas”
– Baloncesto
Samuel Noval
• Ingeniero Técnico Industrial Eléctrico
• Máster en Ciberseguridad y Seguridad de la Inf.
• GCFA, CEH, ITIL
• Global CSIRT Team Leader Cellnex
– Técnico Ciberseguridad Cellnex
• Pasiones:
– Tecnología
– Aprendizaje contínuo
– Videojuegos
– Lectura
– Deporte

4. © 2023 SPLUNK INC.
Qué es Cellnex

5. © 2023 SPLUNK INC.
GROWTH & INTERNATIONAL PRESENCE
Evolución & Hitos
2021
2012 2019
c. 7.000
emplazamiento
s
2014
2014 2020
TIMELINE
2017
SIEM IT
2013
SIEM OT
SIEM/SOAR
2022
Adhesión RNS
SOC CMM
2015
OPV CNX Plan Automat. (2)
Plan Automat. (1)
RFP SIEM/SOAR
OSE + IICC
2016
NOC Interno
Creación SOC
2018
x19 c. 135.000
emplazamientos
Dic. 2022
2023
De SOC a CSIRT

6. © 2023 SPLUNK INC.
Necesidad/Motivación
▪ Incremento de eventos y perímetro de
Seguridad gestionado
▪ Mayor dedicación a tareas estratégicas.
▪ Optimización de recursos concentrando
tareas en las horas pico de eventos de
seguridad.
▪ Desarrollo personal y profesional.
▪ Transformación hacia un Equipo de
Respuesta a Incidentes de Seguridad
▪ De NOC Security a CSIRT (Cyber Security Incident Response
Team)

7. © 2023 SPLUNK INC.
Necesidad/Motivación
▪ Plan de automatización de procesos con SIEM/SOAR como palanca para desarollar
tareas de nivel 2 y nivel 3
L3
L2
L1
L3
L2
L1
SIEM
+
SOAR

8. © 2023 SPLUNK INC.
Necesidad/Motivación
Automatización (1)
Creación de incidencias desde
integrador de Seguridad
Automatización (2)
Creación, remediación y cierre de
incidencias desde integrador de
Seguridad
Automatización
(3)
Implantación de un sistema de
automatización y orquestación
de Seguridad (SIEM/SOAR)
Cargas de Trabajo
Automatización (1)
Creación de incidencias desde
integrador de Seguridad
Automatización (2)
Creación, remediación y cierre de
incidencias desde integrador de
Seguridad
KPIs
Automatización (1)
Creación de incidencias desde
integrador de Seguridad
Automatización (2)
Creación, remediación y cierre de
incidencias desde integrador de
Seguridad
Mejora Continua

9. © 2023 SPLUNK INC.
Proceso de RFP y Despliegue
SIEM + SOAR
+250 Requerimientos
• Tácticos
• Tecnológicos
• Cumplimiento
Qué
3 Fabricantes
• 3 Integradores
Quién
03/2020 – 10/2021
• RFP (2+5 meses)
• Despliegue (12 meses)
Cuándo
Splunk
• +95% Requerimientos
• Ref. experiencia
SOAR
• Know-How previo CXN
Por Qué

10. © 2023 SPLUNK INC.
Antes vs después
De SOC a CSIRT

11. © 2023 SPLUNK INC.
KPIs
Antes vs después
Correos
añadidos
automáticamente
a tickets
Tickets
gestionados vs
Eventos
escalados
Correos de
phishing
analizados por
mes
Reducción de
tiempo medio de
resolución de
casos de
phishing
+13k
300>
10
+200 -90%

12. © 2023 SPLUNK INC.
Ejemplos de casos de uso (No cyber)
Ticket Update

13. © 2023 SPLUNK INC.
Ejemplos de casos de uso (No cyber)
Escalate Event

14. © 2023 SPLUNK INC.
Phishing Email
Ejemplos de casos de uso (Cyber)

15. © 2023 SPLUNK INC.
Próximos pasos
▪ Mejorar la infraestructura actual
▪ Workbooks en SOAR
▪ Desarrollo nuevos casos de uso
▪ UEBA
▪ Mission Control
▪ …

16. © 2023 SPLUNK INC.
Nuestras conclusiones
▪ Nada es imposible
▪ Escucha a tus analistas, a tu equipo
▪ Divide y vencerás, construye tu solución poco a poco
▪ Los logs son el ingrediente básico
▪ Cuanto más sencillo, mejor
▪ Aprovecha todo el potencial de tus herramientas

17. © 2023 SPLUNK INC.
Q&A

18. © 2023 SPLUNK INC.
© 2023 SPLUNK INC.
Thank You!