No necesita un SIEM para investigar un incidente. Necesita tener activados los logs adecuados, conservarlos al menos seis meses, protegerlos frente a manipulaciones y poder consultarlos sin tener que iniciar sesión en cada máquina.
Las seis categorías que se describen a continuación son una agrupación propia y no un estándar. Reordenan las tres tablas de la introducción al registro de eventos con fines de seguridad del NCSC y añaden el registro de aplicaciones de la guía de OWASP, además de detalles sobre Microsoft 365 tomados de la documentación de Microsoft.
Parta de las preguntas
Elija las fuentes de logs en función de las preguntas que le harán durante las primeras horas de un incidente. El NCSC las plantea en términos generales: qué ha ocurrido, cuál es el impacto, qué debemos hacer a continuación, si la remediación ha funcionado y si nuestros controles de seguridad están funcionando. Sus tablas las desglosan en preguntas concretas, como quién ha iniciado sesión de forma remota fuera del horario laboral o si alguien ha hecho clic en un enlace determinado. Si no sabe decir a qué pregunta responde un log, ese log puede esperar.
El conjunto mínimo
| Fuente | Pregunta a la que responde | De dónde procede |
|---|---|---|
| Identidad y acceso remoto | ¿Quién inició sesión, desde dónde y a qué hora? ¿Hubo intentos fallidos en servicios expuestos a internet? | Logs de Active Directory, LDAP, ADFS, VPN, escritorio remoto y VDI |
| Correo | ¿Quién recibió un mensaje como este y quién hizo clic en el enlace? | Servidores SMTP, MS Exchange, appliances de análisis de correo, API de proveedores cloud |
| Endpoints y servidores | ¿Se ejecutó este binario, existe este archivo, ocurrió algo extraño en un host? | Windows EVTX, Syslog, Microsoft Sysmon, agentes de host |
| Firewall, DNS y proxy | ¿Algún sistema se está comunicando con una IP o un dominio sospechosos? | Logs de firewall o netflow, logs de DNS, logs del proxy web |
| Servidor web y aplicación | ¿Qué hizo el usuario y cuál fue el resultado? | Código de la aplicación, servidor web |
| Activos y cambios | ¿Qué dispositivo tenía esta IP, qué cambió, quién es el responsable de este servidor? | Logs de DHCP, routers, firewalls y switches, una CMDB |
Algunos detalles cambian lo que debe recopilar. En el firewall, el NCSC indica que los logs capturados deben tener en cuenta la Network Address Translation, de modo que se registren tanto la IP interna como la externa. Los logs de DNS muestran el dominio en el que hizo clic un usuario, pero no la URL completa, así que considérelos un sustituto más débil cuando no disponga de un proxy web.
Los agentes de host, incluido el gratuito Microsoft Sysmon, pueden generar información de procesos, eventos de consultas DNS, cambios en el sistema de archivos y hashes de archivos. Solo cubren aquello en lo que alguien los ha instalado y configurado, de modo que el shadow IT, los dispositivos de red, los sistemas operativos sin soporte y los hosts donde el malware ha desactivado el agente siguen a oscuras.
Los logs del servidor web no equivalen al registro de la aplicación. La aplicación conoce la identidad del usuario, sus roles y el resultado de una acción, mientras que los dispositivos de infraestructura a menudo no.
Microsoft 365
Si utiliza Microsoft 365, revise Microsoft Purview antes de comprar nada. Audit (Standard) está activado por defecto en las organizaciones con la suscripción adecuada. Aun así, debe asignar permisos para poder buscar en él, ya sea en el portal de Purview o con el cmdlet Search-UnifiedAuditLog en Exchange Online PowerShell.
Standard conserva los registros durante 180 días. Los registros generados antes del 17 de octubre de 2023 conservaban solo 90. Audit (Premium) conserva por defecto durante un año los registros de Microsoft Entra ID, Exchange, OneDrive y SharePoint.
Premium también proporciona la propiedad SensitivityLabel en la actividad MailItemsAccessed de Exchange Online. Los usuarios necesitan una licencia Premium para que el sistema genere esos eventos, así que resuelva el tema de las licencias antes de un incidente.
Retención y protección
El NCSC recomienda un mínimo de 6 meses para los logs que responden a sus preguntas de incidente. Añade que M-Trends 2018 situó el tiempo medio de detección en 101 días, por lo que conviene conservarlos más tiempo si el presupuesto lo permite.
Los logs locales pueden quedarse cortos sin que nadie lo advierta. Abra cada uno y consulte la fecha de la entrada más antigua. Si tiene menos de seis meses, es posible que el log sea demasiado pequeño o esté demasiado saturado para cumplir su objetivo, así que revise también el tamaño configurado o el ajuste de retención.
Quien consigue entrar tiene motivos para alterar los logs, por lo que debe proteger el servicio de logging con el mismo cuidado que cualquier interfaz de administración. Pregúntese quién puede leer los logs, quién puede escribir en ellos y si vería un cambio. OWASP ofrece medidas concretas para los logs de aplicación:
- Ubique los logs basados en archivos en una partición distinta de la del sistema operativo y del contenido generado por los usuarios, con permisos estrictos sobre directorios y archivos.
- Mantenga los logs fuera de ubicaciones accesibles desde la web. Si no se puede evitar, restrinja el acceso y sírvalos como texto plano en lugar de HTML.
- Cuando registre en una base de datos, utilice una cuenta empleada únicamente para escribir datos de log, con permisos muy restrictivos.
- Utilice un formato de evento estándar sobre un transporte seguro, como el formato de mensaje syslog sobre TLS.
Centralice solo donde compense
El NCSC trata el registro centralizado y el descentralizado como una elección real. Un almacén central significa que no tiene que visitar cada máquina durante una investigación, y resulta más útil con cada fuente que se añade. Dejar los logs donde están funciona cuando ya se pueden consultar y se conservan el tiempo suficiente. Los servicios de correo en la nube son el ejemplo del NCSC, donde la extracción rara vez justifica el coste.
Para un equipo pequeño, un reparto razonable consiste en centralizar los logs de endpoints, servidores, firewall y VPN, y dejar donde están los servicios cloud que ya cumplen bien su función. En Windows, Windows Event Forwarding envía de forma segura los logs de los clientes a un almacén central.
El NCSC advierte además de que un modelo descentralizado puede degradarse poco a poco. Asigne a alguien la tarea recurrente de confirmar que cada fuente sigue generando logs y deje por escrito quién es esa persona.
Por dónde empezar
- Tome las preguntas concretas de las tablas del NCSC, como quién ha iniciado sesión de forma remota fuera del horario laboral o si alguien ha hecho clic en este enlace. Para cada una, indique el sistema que la respondería.
- Para cada fuente, anote dónde se almacena, cuánto tiempo se conserva y quién puede leerla o modificarla. Señale todo lo que no llegue a seis meses.
- Revise los valores por defecto. Si una fuente registra un nivel de detalle mínimo, cambie la configuración para capturar más. En Microsoft 365, confirme que Audit está activado y asigne permisos de búsqueda.
- Reenvíe los logs de endpoints, servidores, firewall y VPN a un único almacén con acceso de escritura restringido, mediante Windows Event Forwarding o syslog sobre TLS.
- Haga un simulacro: elija una dirección IP sospechosa y el asunto de un correo de phishing e intente responder a las preguntas usando solo los logs. Corrija primero la fuente en la que se haya quedado bloqueado.
- Si no puede realizar el simulacro con sus propios medios, pida ayuda a un equipo de respuesta a incidentes o a un proveedor de seguridad gestionada.
