¿Qué eventos de seguridad deben registrarse?

Respuesta directa

Qué debe cubrir una buena respuesta

Cómo funciona

Los logs de seguridad existen para responder quién hizo qué sobre qué recurso, cuándo, desde dónde y si tuvo éxito, tanto para detección en tiempo real como para reconstrucción posterior. Eso implica registrar intentos de autenticación con resultado y factor, decisiones de autorización especialmente las denegaciones, cambios de privilegios, roles y políticas, acceso a secretos y claves, lecturas y exportaciones de datos sensibles, acciones administrativas y de configuración, fallos de validación de entrada que sugieren sondeo, y eventos de controles de seguridad como firewalls y escáneres. Cada registro lleva marca de tiempo en UTC, identidad actuante, objetivo, resultado e ID de solicitud; los logs se envían a un almacén que la aplicación no puede alterar y se retienen según la política.

Ejemplo

Una plataforma SaaS registra cada inicio de sesión con factor y dispositivo, cada autorización denegada con el recurso y la política, cada lectura de secreto del vault con la identidad y el lease, y cada exportación masiva con el número de filas. Las reglas de detección alertan cuando un usuario lee más de 10 secretos en un minuto y ante exportaciones desde una ubicación nueva. Durante una investigación de cuenta comprometida, esos logs mostraron en minutos la secuencia exacta de cambios de privilegios y accesos a datos.

Errores frecuentes

• Registrar cuerpos de solicitud con contraseñas y tokens dentro.
• Registrar los éxitos pero no las denegaciones, que es donde aparece el sondeo.
• Guardar los logs en el mismo host que un atacante puede borrar.

Una estructura útil para responder

Responde desde tu propia experiencia.

No memorices un guion: usa solo ejemplos que puedas explicar con honestidad en preguntas posteriores.