Registros de seguridad: guardar más no siempre ayuda a investigar mejor

Una plataforma puede almacenar millones de eventos y seguir sin responder quién cambió un permiso crítico. El volumen no garantiza que estén presentes los datos adecuados, que sus horas coincidan o que puedan consultarse durante una investigación. Diseñar el registro de seguridad consiste en seleccionar información útil y mantener su disponibilidad. Antes de añadir otra fuente, conviene saber qué pregunta ayudará a responder y quién utilizará la respuesta.

Partir de escenarios concretos

Escoge situaciones relevantes: una cuenta comprometida, una modificación de privilegios o una conexión inesperada a un servidor. Para cada una, identifica qué eventos permitirían reconstruir lo sucedido. El inicio de sesión informa de una entrada, pero quizá necesites auditoría de la aplicación para saber qué acción realizó la persona. Relacionar fuentes evita interpretar un único registro como si describiera toda la actividad.

La guía conjunta de buenas prácticas publicada en agosto de 2024 por ACSC y organismos asociados pone el foco en calidad, centralización y protección de registros. Para convertirla en trabajo diario, crea una ficha por fuente: responsable, eventos recogidos, campos esenciales, frecuencia esperada y comprobaciones. Esa ficha permite detectar una integración incompleta antes de que la necesite una investigación urgente.

Conservar identificadores que permitan relacionar

La dirección IP puede cambiar o corresponder a varios usuarios detrás de una salida compartida. Siempre que estén disponibles, conserva identificadores de cuenta, equipo, sesión y recurso. Normaliza los campos necesarios sin perder el evento original cuando resulte pertinente. Así, una modificación en el formato del proveedor no obliga a reconstruir toda la información a partir de un resumen demasiado reducido.

Comprueba la sincronización horaria y registra la zona o referencia utilizada. Distingue la hora del evento de la hora de recepción. Un retraso de envío puede alterar el orden aparente de una secuencia y provocar conclusiones equivocadas. Durante una investigación, documentar ese retraso permite trabajar con un margen conocido en lugar de asumir que todos los sistemas reflejan el mismo reloj.

Supervisar la propia recogida

Un conector puede dejar de funcionar por una credencial caducada, una licencia modificada o un cambio de formato. La ausencia de eventos necesita una alerta cuando la fuente debería estar activa. Establece un volumen esperado razonable y comprueba retrasos de ingestión. En fuentes poco frecuentes, puede ser más útil una prueba programada que un umbral basado en cantidad de registros.

• Define los eventos y campos que cada caso de uso necesita para poder investigarse.
• Controla la última recepción válida y el retraso entre origen y plataforma.
• Revisa errores de análisis del formato y pérdidas en colas o agentes.
• Prueba búsquedas con eventos conocidos después de cambios de configuración o versión.

Proteger integridad y acceso

Los registros pueden contener información sensible y también ser objetivo de un atacante que quiere borrar sus huellas. Limita quién puede eliminarlos, cambiar políticas o consultar determinados datos. Separa las funciones de administración cuando el riesgo lo justifique y conserva auditoría del propio sistema de registro. La protección tiene que abarcar el transporte, el almacenamiento y los permisos de consulta.

Evita incluir contraseñas, tokens completos o datos personales innecesarios en los eventos. La solución no es registrar todo por si acaso. Coordina el diseño con quienes conocen la aplicación y los requisitos de conservación. Cuando se necesiten campos sensibles para un caso concreto, define acceso y tratamiento adecuados, incluyendo cómo se compartirán evidencias con el equipo que intervenga en una incidencia.

Decidir una retención utilizable

Conservar información durante mucho tiempo sirve de poco si recuperarla tarda más de lo que permite la investigación. Distingue la retención consultable de inmediato del archivo que requiere un proceso de restauración. Prueba ambos caminos y documenta costes, tiempos y limitaciones. La duración debe responder a riesgos y necesidades aplicables, no a una cifra universal copiada de otro entorno.

Prioriza fuentes críticas cuando el presupuesto sea limitado. Puede aportar más mantener auditoría completa de identidades y administración que acumular eventos repetitivos sin uso definido. Revisa periódicamente qué búsquedas se realizan y qué información falta. Esa revisión permite ajustar almacenamiento sin recortar a ciegas datos que podrían ser importantes para incidentes menos frecuentes.

Verificar con una investigación de prueba

Elige una acción autorizada, como un cambio temporal de grupo, y sigue su rastro desde el sistema origen hasta la consulta final. Comprueba que otra persona puede localizarla con la documentación disponible. Si falta contexto, corrige la fuente o el procedimiento. Una prueba sencilla y repetible demuestra mejor la utilidad del registro que un panel lleno de cifras, porque confirma que la información se puede convertir en una explicación de lo ocurrido.