Cómo construir un agente de investigación de seguridad: herramientas, correlación en el SIEM y memoria

Un agente de investigación de seguridad es tan bueno como las pruebas a las que puede llegar. La sala de TryHackMe sobre creación de agentes, de dificultad media, lo demuestra montando un asistente de SOC para un minorista ficticio llamado NorthStar Fashion, una capacidad cada vez. La sala está en tryhackme.com/room/agentbuilding, y todo lo que sigue está pensado para aprender y practicar la defensa.

El problema que resuelve el agente

Un analista que se enfrenta a una alerta tiene que reunir datos de muchos sitios. La alerta dice una cosa, el SIEM guarda logs relacionados, una dirección IP puede tener mala reputación en otra parte y los documentos de la empresa explican qué es lo normal. Unir todo eso a mano es lento, y se repite con cada alerta.

El agente de esta sala se encarga del trabajo pesado. Parte de una alerta de seguridad, reúne las pruebas relevantes, busca logs relacionados en el SIEM y comprueba contexto externo como la reputación de la IP. Después lee la información interna de la organización y lo combina todo en un veredicto fundamentado que revisa un ingeniero. La decisión en sí sigue en manos de una persona.

Qué aprenderás

Al terminar la sala sabrás:

• construir un agente de investigación a partir de un diseño escrito
• conectar herramientas que obtienen alertas y consultan logs del SIEM
• relacionar pruebas por cuenta, dirección IP, dispositivo, tipo de evento y hora
• incorporar contexto externo e interno a un caso
• usar la memoria de la conversación para que las preguntas de seguimiento no reinicien la investigación
• emitir veredictos respaldados por pruebas mientras el analista conserva la última palabra

El entorno del laboratorio

El entorno te da acceso a un modelo de IA a través del propio servicio de IA de TryHackMe. Un módulo auxiliar, thm_ai.py, ya está en el proyecto. Se encarga de la comunicación con el servicio y usa el token temporal asignado al laboratorio. Nunca tienes que gestionar tú el proveedor del modelo, las credenciales ni los tokens. El módulo es la única interfaz entre tu código de investigación y el modelo, así que la lógica del agente queda separada de la infraestructura que hay detrás.

Cómo crece el agente

Cada tarea añade una capacidad, y al final el agente puede combinar el razonamiento del modelo con acciones aprobadas, alertas del SIEM, correlación de logs, reputación de IP, contexto de la organización e historial de conversación. La progresión a lo largo de la sala es esta:

Task 3 → Define the agent behaviour and connect to the AI
Task 4 → Execute approved alert capabilities
Task 5 → Correlate alerts with SIEM logs
Task 6 → Add external and organisation context
Task 7 → Continue investigations across follow-up questions

Merece la pena recordar algunos detalles del montaje.

Conexión con el modelo. Primero van las instrucciones y el comportamiento del agente, y después un método que envía un mensaje al servicio de IA. La respuesta incluye un campo con el texto generado por el asistente, que tu código lee y transmite.

Capacidades aprobadas para alertas. Las herramientas permiten al agente listar alertas y obtener una alerta completa por su ID. El listado admite paginación, de modo que un parámetro de consulta controla cuántas alertas se saltan. En esta fase temprana el agente no puede recuperar del SIEM una alerta como ALT-051, porque todavía no se ha añadido la búsqueda de logs.

Correlación de logs. El endpoint de búsqueda del SIEM recibe una petición POST. Las condiciones pueden combinarse con operadores lógicos, y AND exige que ambas condiciones coincidan en la misma entrada de log. El ejercicio muestra cómo funciona el filtrado. Buscar por la cuenta de un solo usuario devuelve muchos logs. Añadir la IP de origen reduce el conjunto, y añadir el dispositivo lo reduce otra vez. Cada condición adicional convierte una lista ruidosa en un relato preciso y defendible.

Contexto externo y de la organización. Otras dos capacidades amplían la visión del agente. check_ip_abuse consulta si una dirección ha sido denunciada antes por actividad abusiva. search_org_details busca en los documentos internos de NorthStar Fashion, para que el agente sepa qué es lo esperable en esa empresa.

Memoria. Lo último que se añade es el historial de conversación, que almacena el servicio de IA de TryHackMe y que el código puede recuperar con un método específico. Como el servicio guarda ese historial, el agente no necesita un checkpointer de LangGraph aparte para recordar una conversación. Un analista puede hacer una pregunta de seguimiento sin repetir toda la investigación.

El agente terminado vive en un solo archivo, que se va construyendo paso a paso a lo largo de la sala.

Por qué funciona este diseño

Varias decisiones hacen que el agente sea fiable y no solo vistoso:

• Solo usa capacidades aprobadas. El modelo no puede actuar fuera de las herramientas que has conectado.
• Los veredictos se apoyan en pruebas que pueden rastrearse hasta logs, cuentas, direcciones IP, dispositivos y marcas de tiempo concretos.
• Los datos externos de reputación y los documentos internos aportan un contexto que los logs por sí solos no tienen.
• La memoria mantiene la continuidad de la investigación, algo importante cuando el análisis requiere más de una pregunta.
• Una persona sigue siendo responsable de la decisión de seguridad final.

Esa combinación de herramientas, contexto, memoria y revisión humana es un modelo sensato para cualquier proyecto de automatización del SOC, tanto si se practica en un laboratorio como si se construye para producción.