cnsl
CNSL es un SIEM auto-alojado para Linux que correlaciona logs de SSH, web y bases de datos para detectar ataques coordinados y bloquearlos automáticamente. Soporta federación multi-nodo y exportación a SIEMs externos como Splunk o Sentinel.
Ficha actualizada 28 sept 2026, 4:43 · upstream 28 sept 2026, 4:33 · release v3.4.27
Qué es cnsl
Descripción editorial construida a partir del repositorio, su documentación y sus señales de mantenimiento.
CNSL (Correlated Network Security Layer) es una plataforma de seguridad auto-alojada diseñada para Linux que supera las limitaciones de las herramientas tradicionales al observar múltiples fuentes de logs simultáneamente. Detecta ataques que abarcan SSH, web y bases de datos en un solo evento coordinado, permitiendo respuestas automáticas antes de que se complete la brecha. Incluye análisis de comportamiento (UEBA), seguimiento de cadenas de ataque (kill chain) y capacidades predictivas para bloquear amenazas basándose en su trayectoria.
La plataforma soporta despliegues flexibles mediante Docker, Kubernetes (Helm) o instalación nativa con Python 3.10+. Ofrece un dashboard web integrado para la gestión de incidentes, visualización gráfica de campañas y correlación de ataques. Además, facilita la integración con ecosistemas externos a través de exportación STIX 2.1, servidor TAXII 2.1 y conectores hacia Splunk o Sentinel.
Para operaciones avanzadas, CNSL permite federación multi-nodo con una vista unificada en el hub, gestión de casos con SLA definidos y análisis forense mediante gráficos de correlación. La configuración inicial se realiza mediante un asistente rápido que detecta automáticamente archivos de log existentes (nginx, apache, mysql) y genera una configuración válida sin necesidad de intervención manual extensa.
- Detección de ataques coordinados entre escaneo web, SSH y autenticación de base de datos
- Correlación de campañas de ataque mediante análisis gráfico y seguimiento de kill chain
- Integración con SIEMs externos (Splunk, Sentinel) vía exportación STIX 2.1 o Webhooks
- Gestión de incidentes multi-nodo con vista unificada en el hub federado
- Análisis de comportamiento UEBA para identificar anomalías en usuarios o entidades
- Bloqueo automático de IPs maliciosas basado en patrones aprendidos y reglas Sigma
- Detección y bloqueo automático de ataques coordinados antes de la brecha completa
- Soporte nativo para ingestión de logs vía Kafka, Zeek y múltiples bases de datos (PostgreSQL, MySQL)
- Integración con MITRE ATT&CK para mapeo de técnicas de ataque y exportación STIX 2.1
- Dashboard web integrado con pestañas para UEBA, Kill Chain, Gráficos y gestión de casos
- Capacidad de federación multi-nodo con vista unificada en el hub centralizado
- Configuración inicial automática mediante asistente que detecta logs existentes
- Requiere permisos de root o CAP_NET_ADMIN para aplicar bloqueos a nivel de red (iptables)
- Dependencia de Python 3.10+ y gestión manual del entorno virtual en instalaciones nativas
- La detección predictiva requiere configuración adicional de umbrales y reglas de correlación
- Algunas funcionalidades avanzadas como la federación requieren Redis o Kafka para el almacenamiento distribuido
- El modo de ejecución real (--execute) no está activado por defecto, requiriendo configuración explícita
Perfil de infraestructura
Estimación inicial derivada del repositorio y de los servicios detectados.
Despliegue detectado
Qué señales reales de instalación hemos encontrado.
Se recomienda iniciar en modo dry-run (predeterminado) para validar detecciones sin bloquear tráfico. Para despliegues escalables, utilice la opción Kubernetes con Helm o Docker Compose. Asegúrese de configurar Redis para federación multi-nodo y asignar al menos 4 núcleos CPU y 4GB RAM según el análisis técnico. Configure los canales de notificación (email, Slack) en la fase inicial del asistente (--init).
Stack y dependencias
Componentes inferidos a partir de manifests, configuración y documentación.
Puede sustituir a
Relaciones detectadas por el análisis del repositorio y su categoría.
Experiencia real de la comunidad
Ayuda a contrastar la estimación automática con instalaciones reales.
Todavía no hay datos comunitarios para este proyecto.