Demasiado y demasiado poco
Hay dos formas de fracasar con los registros. La primera: activarlo todo, pagar una factura de almacenamiento enorme y no encontrar nada cuando hace falta, porque nadie sabe qué buscar entre millones de líneas. La segunda: no activar los registros que importan, y descubrir durante un incidente que no hay forma de saber quién hizo qué.
Qué registrar
Lo imprescindible, casi siempre:
- Identidad: inicios de sesión, fallos, segundo factor, cambios de permisos y de roles.
- Control de la nube: cada cambio de configuración (quién, qué, cuándo, desde dónde).
- Datos confidenciales: accesos y exportaciones.
- Claves y secretos: cada uso.
- Despliegues: qué se desplegó, con qué huella y quién lo aprobó (la misma cadena de qué corre, dónde y por qué).
Lo demás (registros de depuración de aplicaciones, tráfico detallado) se activa donde aporta y durante el tiempo que aporta.
Dónde y durante cuánto
- En un sitio separado de los sistemas que registran, en una cuenta propia (la de registros de la estructura de cuentas), para que un atacante que entra en un sistema no pueda borrar su rastro.
- Protegidos contra modificación: solo se escriben y se leen; no se editan ni se borran antes de tiempo.
- Con retención por tipo: lo de seguridad y cumplimiento, durante el plazo que exija la norma o la regulación; lo operativo, menos.
- Con un costo previsto: el volumen de registros es un costo más, y se gestiona como tal (con ciclos de vida que mueven lo antiguo a almacenamiento barato).
Registrar bien es la materia prima. Lo que convierte esos registros en protección es detectar en ellos lo que no debería estar pasando.
Cómo lo aplicamos: Ciberseguridad.