Logs

Un log muestra lo que el sistema registró, no todo lo que ocurrió. Antes de reconstruir una historia, hay que revisar cobertura, reloj y origen; los silencios del registro también tienen límites.

Los logs son un registro de eventos ocurridos en los sistemas. Casi todos los sistemas generan logs de algún tipo, los que contienen múltiples entradas detalladas sobre eventos ocurridos u ocurrencias.

Útiles durante la investigación: pueden indicar qué ocurrió, dónde, cuándo y qué identidad intervino. Su contenido depende de la fuente; no hay una regla universal de «3 de 4 W» y rara vez prueban por sí solos por qué ocurrió. Esto suele incluir detalles como fecha, hora, lugar, acción realizada, ID de usuario o sistema, etc.

Análisis de logs

Proceso de examinar dichos logs para identificar eventos de interés. Dada la inmensa cantidad de información que podríamos registrar, es importante ser selectivo en qué logeamos. Por ejemplo, una aplicación web genera un volumen enorme de información, pero no toda esa información podría ser relevante para una investigación; es más esto podría entorpecer la investigación. Filtrar para analizar ayuda; eliminar registros sin criterio puede destruir evidencia. Definir antes cobertura, retención, costo y privacidad; preservar originales cuando corresponda.

Las herramientas SIEM proveen mucha información de alto-nivel sobre lo que ocurre en una red. Esto lo realiza recolectando información de multiples fuentes, es consolidada en un solo lugar y por último es normalizada o convertida a un formato preferido. De esta forma, ayudan a procesar dichos logs en tiempo real.

Recopilación

Los direccionadores de logs ayudan a recolectarlos de varias fuentes y enviarlos a un repositorio común para almacenamiento. Diversos sistemas y dispositivos generan diversos logs; Como las Redes que generan logs sobre Proxies, Routers, Switches, Firewalls, etc. O los Sistemas Operativos, las aplicaciones o software, logs de seguridad elaborados por Sistemas de detección de intrusiones y Sistemas de prevención de intrusiones, y finalmente logs de Autenticación que registran los intentos de log-in.

Buenas prácticas

Importante entender cómo recopilar, almacenar y proteger los registros ya que son parte integral de la investigación. La gestión de registros es el proceso de recopilar, almacenar, analizar y eliminar datos del registro.

Qué registrar es quizás la tarea más importante, un registro excesivo ralentiza las investigaciones, podría contener información de identificación personal ( ==PII== ), etc. Lo importante es configurar para obtener sólo lo estrictamente necesario según la organización. Si bien registrar todo es tentativo y podría ser útil, los costos se empiezan a acumular rápidamente en sistemas complejos, tanto en rendimiento como en almacenamiento.

Algunas empresas trabajan con regulaciones determinadas por la industria. Por ej. ciertas normativas exigen que las empresas retengan registros durante un período determinado. Tenemos industrias como el sector público, atención médica y servicios financieros que tienen estos estándares. Algunos ejemplos de estas normativas son por ejemplo HIPAA, PCI DSS, etc.

Proteger los registros es importante ya que los atacantes pueden modificar estos registros, eliminar otros y así engañar a los equipos.

Referencia: NIST SP 800-92. Verificar sincronización horaria, integridad, acceso y procedencia. Un SIEM no garantiza ingesta instantánea ni normalización correcta de cada fuente. Los plazos regulatorios dependen de jurisdicción, dato y obligación aplicable; no se fija aquí uno universal.

+----------------------------------------+
| Floure &                               |
| Tachibana's guild                      |
| [Hikari · Nozomi]                      |
| SEAL: sha256/12: a37f034e324f          |
| STATUS: LITURGY_IN_PROGRESS            |
+----------------------------------------+