Se analizó una serie temporal de 60 días de telemetría de seguridad de SIEMBIOT para predecir los volúmenes de ingesta de eventos esperados y evaluar los patrones de actividad diarios y semanales recurrentes.
Se utilizó la telemetría de seguridad histórica recopilada a través de SIEMBIOT para evaluar si los patrones recurrentes de la serie temporal podían proporcionar una estimación fiable de los volúmenes futuros de ingesta de eventos.
El objetivo no era predecir un ciberataque concreto. La investigación se centró en predecir el comportamiento esperado de la propia telemetría monitorizada y en establecer una línea base futura medible con la que comparar la actividad observada posteriormente.
Conjunto de datos y fuente de telemetría
Fuente: telemetría de seguridad de SIEMBIOT
Métrica: número de eventos de seguridad ingeridos
Intervalo de agregación: 1 hora
Periodo de observación: 60 días
Observaciones históricas: 1,440 intervalos horarios
Ventana de observación: 20 de junio de 2026 - 19 de agosto de 2026, hasta las 14:00 hora local de la plataforma
Horizonte de previsión: próximas 24 horas
El conjunto de datos analizado contenía una observación por cada intervalo horario del período de 60 días.
No se identificaron intervalos horarios ausentes, marcas de tiempo duplicadas ni intervalos sin eventos.
El volumen de telemetría observado osciló entre 62,516 y 1,934,749 eventos por hora, con una media global de aproximadamente 900,542 eventos por hora.
Preparación de los datos y contexto operativo
Los recuentos de eventos se mantuvieron en una cuadrícula temporal horaria continua antes de la predicción.
Se hizo una distinción importante entre la actividad genuinamente baja de eventos y los períodos en los que el volumen de telemetría se vio afectado por la actividad operativa.
Una reducción significativa de la ingesta de eventos observada el 22 de julio de 2026 se correspondió con un evento de mantenimiento planificado conocido.
Dado que esta reducción no representaba el comportamiento normal de la telemetría, el período de mantenimiento se identificó durante el preprocesamiento y no se trató como un patrón representativo de bajo volumen para el ajuste y la evaluación del modelo.
Esta distinción es importante porque los eventos de mantenimiento, los fallos de ingesta, las interrupciones de los colectores y otras condiciones operativas conocidas pueden, de otro modo, influir en la línea base esperada que se aprende de la telemetría histórica.
Patrón de la serie temporal
La serie histórica mostró un comportamiento temporal recurrente muy claro.
La ingesta de eventos fue, en general, mayor durante los períodos de trabajo activo y menor durante la noche y los fines de semana.
La característica repetible más marcada fue un patrón estacional semanal.
La actividad observada en una hora concreta mostró una similitud sustancial con la actividad registrada a la misma hora una semana antes. La correlación entre la serie temporal y su desfase de 168 horas fue de aproximadamente 0.78.
Esto indicó que la estacionalidad semanal era una señal de predicción importante dentro de la telemetría de SIEMBIOT analizada.
Metodología de predicción
Se evaluaron varios enfoques de predicción en lugar de seleccionar un modelo de antemano.
Se compararon los siguientes modelos:
Seasonal Naive 24h - predice una hora usando el valor observado a la misma hora del día anterior;
Seasonal Naive 168h - predice una hora usando el valor observado a la misma hora una semana antes;
Holt-Winters 24h - suavizado exponencial con estacionalidad diaria;
Holt-Winters 168h - suavizado exponencial con estacionalidad semanal.
Se incluyeron los modelos Holt-Winters para determinar si un modelo más complejo que combina nivel, tendencia y estacionalidad mejoraría la precisión de la predicción frente a líneas base estacionales históricas sencillas.
Dado que el conjunto de datos contiene aproximadamente 8.5 ciclos semanales completos, el modelo Holt-Winters de 168 horas se consideró exploratorio y sus resultados se evaluaron frente a la línea base estacional semanal más simple.
Evaluación de la predicción
La precisión de la previsión se evaluó mediante validación de origen móvil.
Se evaluaron siete ventanas de predicción consecutivas de 24 horas. En cada punto de predicción solo se utilizó la telemetría histórica disponible antes del inicio de esa ventana.
Esto reproduce el escenario operativo de predicción con mayor fidelidad que dividir aleatoriamente una serie temporal en observaciones de entrenamiento y de prueba.
Los resultados medios en las ventanas de predicción evaluadas fueron:
ModeloMAERMSEMAPEWAPESeasonal Naive 168h67,45594,7997.18%7.69%Holt-Winters 168h80,10090,8929.46%8.96%Seasonal Naive 24h114,262185,05412.47%13.28%Holt-Winters 24h233,581263,47028.58%27.36%
El modelo Seasonal Naive de 168 horas produjo los valores medios más bajos de MAE, MAPE y WAPE y, por tanto, fue seleccionado para la previsión final de 24 horas.
Holt-Winters con estacionalidad semanal produjo un RMSE ligeramente inferior, lo que indica un mejor rendimiento frente a algunos de los errores individuales más grandes, pero sus errores absolutos y porcentuales medios siguieron siendo mayores.
El resultado también demuestra un principio importante de la predicción: un modelo más complejo no proporciona automáticamente una predicción más precisa.
Para este conjunto de datos, el patrón de telemetría semanal recurrente ofreció una línea base de predicción más sólida que las configuraciones Holt-Winters evaluadas.
Resultado de la predicción a 24 horas
Tras la evaluación de los modelos, se aplicó el modelo estacional semanal seleccionado para predecir la ingesta de eventos de SIEMBIOT durante las siguientes 24 horas.
Periodo de previsión: 19 de agosto de 2026 14:00 - 20 de agosto de 2026 14:00
Volumen de eventos previsto: 22,148,246 eventos
Volumen medio previsto: 922,844 eventos por hora
Volumen máximo previsto: 1,278,860 eventos por hora
Pico esperado: 20 de agosto de 2026 a las 09:00 aproximadamente
También se calculó un intervalo de predicción empírico a partir de los residuos históricos de la predicción.
En el pico esperado, el intervalo empírico del 95% aproximado fue:
1,148,162 - 1,457,092 eventos por hora
El intervalo representa el rango de volúmenes de telemetría que serían razonablemente coherentes con los errores de predicción recientes.
Los valores fuera de este rango no deben clasificarse automáticamente como actividad maliciosa, pero pueden ofrecer una señal útil para una investigación operativa o de seguridad adicional.
Desviación de la predicción y contexto de seguridad
La predicción de series temporales crea un punto de referencia dinámico para evaluar la telemetría observada posteriormente.
El proceso puede representarse así:
Telemetría histórica -> Predecir la actividad esperada -> Observar la actividad real -> Medir la desviación de la predicción -> Investigar los cambios significativos
Por ejemplo:
Previsión: 920,000 eventos/hora
Real: 1,450,000 eventos/hora
Resultado: actividad significativamente superior a la línea base esperada
Una desviación grande puede tener varias explicaciones, entre ellas:
mayor actividad de endpoints o usuarios;
incorporación de nuevas fuentes de telemetría;
cambios en la configuración de registro;
análisis de vulnerabilidades;
actividad externa automatizada;
despliegue de software;
degradación de la ingesta;
problemas de infraestructura;
o actividad relacionada con la seguridad.
Las desviaciones por debajo del rango esperado también son relevantes.
Una reducción persistente del volumen de eventos puede indicar problemas en los colectores, analizadores rotos, fuentes de registros no disponibles u otras condiciones que afecten a la cobertura de monitorización.
Por tanto, la predicción proporciona contexto para la investigación, pero no determina por sí sola si se ha producido un incidente de ciberseguridad.
Relación con la detección de anomalías
La predicción y la detección de anomalías responden a preguntas complementarias.
La previsión de series temporales estima qué actividad de telemetría se espera en el futuro.
La detección de anomalías identifica la actividad observada que difiere significativamente de un patrón esperado o previamente establecido.
Por lo tanto, ambos enfoques pueden combinarse:
Telemetría histórica -> Línea base de predicción -> Telemetría real -> Desviación de la predicción -> Investigación de anomalías
La predicción puede aportar una línea base dinámica adicional para la investigación de anomalías de SIEMBIOT, preservando al mismo tiempo la distinción entre un patrón de telemetría inesperado y un incidente de seguridad confirmado.
Valor operativo
Predecir el volumen de ingesta de eventos puede aportar un contexto útil tanto para la monitorización SOC como para las operaciones SIEM.
Los posibles usos operativos incluyen:
monitorización proactiva del comportamiento de la telemetría;
identificación de volúmenes de ingesta inesperadamente altos o bajos;
establecimiento de una línea base esperada dinámica;
validación de la continuidad de la telemetría;
detección de posibles degradaciones de la ingesta;
planificación de infraestructura y recursos;
comparación entre la actividad de seguridad prevista y la real.
Para la planificación de la infraestructura, la predicción puntual media no debe utilizarse como única referencia de capacidad.
Los rangos superiores de predicción son más útiles para evaluar la capacidad de ingesta que puede necesitarse durante los períodos de mayor volumen.
También es importante distinguir el recuento de eventos de métricas de infraestructura como los eventos por segundo (EPS) o el volumen de datos.
Los recuentos horarios de eventos no revelan las ráfagas breves de ingesta, y el recuento de eventos no se traduce directamente en gigabytes, ya que el tamaño de los eventos varía entre las fuentes de telemetría.
Por ello, para dimensionar con detalle la infraestructura SIEM sería necesaria una predicción independiente basada en intervalos de tiempo más cortos o en bytes ingeridos.
Limitaciones
La investigación tiene varias limitaciones.
Periodo de observación. El conjunto de datos abarca 60 días y, por tanto, no puede captar patrones mensuales, trimestrales o anuales más largos.
Dependencia semanal. El modelo seleccionado asume que la actividad del periodo próximo seguirá siendo similar a la de las horas correspondientes de la semana anterior.
Cambios en el entorno. Nuevas fuentes de registros, despliegues de agentes, cambios de configuración o sistemas dados de baja pueden modificar la línea base de telemetría y requerir una recalibración de la previsión.
Eventos operativos conocidos. Los periodos de mantenimiento y las interrupciones de la ingesta deben identificarse para que no se interpreten incorrectamente como un comportamiento normal de la telemetría.
Agregación horaria. Las ráfagas breves de eventos dentro de una hora no se reflejan en la previsión horaria y pueden requerir una previsión con una resolución más fina.
Horizonte de previsión. La evaluación se aplica específicamente a un horizonte de previsión de 24 horas. Las previsiones a más largo plazo requerirían una validación independiente.
Conclusión
Se analizó un conjunto de datos de 60 días con 1,440 observaciones horarias de ingesta de eventos de SIEMBIOT para determinar si la telemetría de seguridad histórica podía utilizarse para prever la actividad futura esperada.
El análisis identificó un fuerte patrón semanal recurrente, con una correlación de aproximadamente 0.78 con un desfase de 168 horas.
Se compararon cuatro enfoques de predicción mediante validación móvil de 24 horas.
Para el conjunto de datos analizado, la previsión estacional de 168 horas obtuvo el mejor rendimiento global, con un MAE medio de aproximadamente 67,455 eventos por hora y un MAPE de aproximadamente 7.18%.
El modelo seleccionado previó aproximadamente 22.15 millones de eventos de seguridad durante el siguiente periodo de 24 horas, con una media esperada de aproximadamente 922,844 eventos por hora.
La investigación demuestra que la telemetría histórica de SIEMBIOT puede utilizarse no solo para analizar la actividad observada previamente, sino también para establecer una línea base de telemetría futura esperada.
Comparar esta línea base con la actividad observada posteriormente puede aportar contexto adicional para la monitorización SOC, la validación de la telemetría, la planificación de capacidad y la investigación de anomalías.
La predicción en sí no anticipa un ciberataque ni identifica por sí sola un comportamiento malicioso. Proporciona una referencia esperada con la que se puede medir e investigar la telemetría futura.
