Registro de auditoría
Dónde escribe la solución cada inicio de sesión, comando, cambio de contraseña, transferencia de archivos y operación administrativa, cuánto tiempo se conservan esos registros y cómo consultarlos o re
Qué es esto y cuándo usarlo
El registro de auditoría es el conjunto de asientos consultables que la solución escribe para todo lo que pasa por ella: quién inició sesión y desde dónde, qué comandos se ejecutaron dentro de una sesión, qué contraseñas cambiaron, qué archivos se movieron y qué objetos administrativos se crearon, editaron o eliminaron.
Úselo cuando necesite responder a una pregunta sobre el pasado: "quién reinició aquel host el viernes", "se usó esta cuenta fuera del horario laboral", "quién cambió aquella regla de autorización".
Tres cosas del área Auditoría se confunden con facilidad:
Registro de auditoría (esta página)
Los asientos en sí: texto, consultable, filtrable, exportable
La reproducción en vídeo de una sesión, lanzada desde el registro de la sesión
Extractos empaquetados de esos mismos datos, generados a demanda o de forma programada
El registro de auditoría es la fuente; las grabaciones y los informes son dos maneras de mirarlo.
Antes de empezar
Su rol debe conceder acceso al área Auditoría. Leer los asientos de otras personas está controlado por RBAC. Consulte Roles.
La retención es un ajuste de todo el sistema, definido en Configuración del sistema › Retención. Los asientos más antiguos que la ventana de retención ya no están ahí para encontrarlos.
Para reenviar los asientos fuera del appliance, el destino syslog o Elasticsearch debe ser alcanzable desde los nodos.
Dónde vive cada asiento
Registro de inicio de sesión
Auditoría › Consola › Registro de inicio de sesión
Quién intentó autenticarse, con qué método, desde qué dirección y si lo consiguió
Registros de sesión
Auditoría › Consola › Registros de sesión
Cada sesión abierta sobre un activo, en curso e histórica, con reproducción y descarga
Usuarios en línea
Auditoría › Consola › Usuarios en línea
Quién está conectado a la consola ahora mismo, con la opción de desconectarlo
Cambios de contraseña
Auditoría › Consola › Cambio de contraseña
Qué cuenta cambió de contraseña, por quién o por qué automatización, desde qué dirección
Registro de acciones
Auditoría › Auditoría de registros › Registro de acciones
Creación, modificación y eliminación de objetos: usuarios, activos, reglas, permisos
Comandos
Auditoría › Sesiones › Keylogger
Cada comando tecleado en una sesión SSH o Telnet, con su clasificación de riesgo y un enlace de vuelta a la sesión
Transferencias de archivos
Auditoría › Sesiones › Transferencias
Subidas y descargas realizadas durante las sesiones, con una copia del archivo
Lista de trabajos
Auditoría › Auditoría de operaciones › Lista de trabajos
Las automatizaciones configuradas para ejecutarse, con sus programaciones
Ejecuciones
Auditoría › Auditoría de operaciones › Ejecuciones
Cada ejecución de cada automatización, si terminó y si tuvo éxito
El Panel de control en la parte superior del área Auditoría es la vista consolidada de esos mismos datos sobre Hoy, 7 días o 30 días: total de comandos y cuántos de ellos eran comandos de riesgo, trabajos programados y en ejecución, sesiones en línea y totales, archivos transferidos, accesos, entradas del registro de operaciones y contraseñas cambiadas, seguido de una tabla con las sesiones más recientes.
Qué queda registrado
El registro se agrupa en familias de eventos:
Actividad operativa
Acceso, intento de acceso, acceso bloqueado, cambio de contraseña
Actividad de configuración
Cambios en la configuración del sistema y de los objetos
Actividad de auditoría
Acceso a informes, a registros de comandos, a archivos transferidos y a grabaciones de sesión
Actividad de autenticación
Autenticaciones por contraseña correctas y fallidas, contraseñas sin usar durante más de un número dado de días, contraseñas usadas, contraseñas cambiadas, descubrimiento de cuentas, registro de cuenta, uso de cuenta, asociación de cuenta
RBAC de acceso
Usuarios vinculados a un permiso, usuarios retirados de un permiso, cambios en los permisos de acceso
Retención
Los asientos se pueden consultar desde la consola y se conservan según las políticas de Configuración del sistema › Retención. Fije esa ventana antes de necesitarla: una pregunta planteada fuera de la ventana ya no se puede responder, y acortar la retención descarta el histórico de inmediato.
Reenvío a un SIEM
Los asientos pueden enviarse a un recolector externo, para que el registro sobreviva con independencia del appliance. Los destinos admitidos son syslog sobre UDP, TCP o TLS, Elasticsearch, correo electrónico y exportación en texto plano.
Syslog UDP
514
Syslog TCP
514
Syslog TLS
6514
El formato del asiento sigue un estándar común y lo consumen sin analizador propio los recolectores habituales: Splunk, IBM QRadar, Microsoft Sentinel, Elastic Security y la pila ELK, OpenSearch, Google Security Operations, Securonix, LogRhythm, Graylog, Wazuh, Loki y Grafana, Fluentd y Fluent Bit, rsyslog y syslog-ng, SolarWinds, ManageEngine y Nagios. Configure el destino en Configuración del sistema. Consulte Syslog y SIEM.
Pasos
Investigar un incidente tiene la misma forma en cualquier registro:
Abra el registro que contiene el tipo de evidencia que necesita, según la tabla anterior.
Acote el período con el selector de fechas en la parte superior de la página, con fecha de inicio y fecha de fin. Todo registro se abre sobre una ventana reciente, no sobre todo el histórico.
Busque por el identificador que realmente tiene. El Registro de inicio de sesión busca por nombre de usuario; los Registros de sesión buscan por usuario, activo, ID de usuario, ID de activo, cuenta, protocolo, origen del acceso, dirección remota y terminal.
Ordene por cualquier columna para juntar los extremos: fallos repetidos sobre un mismo usuario, o todas las sesiones sobre un mismo activo.
Siga el asiento hasta su contexto. Desde un comando en Keylogger, use Ir a la sesión para llegar a la sesión donde se tecleó y, desde ahí, a su grabación. Desde Transferencias, descargue la copia del archivo que se movió.
Exporte el resultado si la evidencia tiene que salir de la consola, o construya un extracto repetible en Informes.
Lo que debería ver
Cada registro es una tabla que puede filtrar, ordenar y exportar. Conviene conocer dos detalles antes de leerlos:
En Registros de sesión, las sesiones en curso están bajo Sesiones en línea y las terminadas bajo Sesiones históricas. Una sesión que terminó aparece en la segunda pestaña con Reproducir y Descargar en la columna Operación.
En Keylogger, la columna Nivel de riesgo muestra cómo trató la política al comando: Aceptar en verde significa que se permitió, Rechazar en rojo significa que se bloqueó por infringir una regla. La clasificación viene de la inspección de comandos, así que una fila roja es un intento bloqueado, no un comando que se ejecutó.
Cómo verificar que funcionó
No se fíe de que exista la página de registro; demuestre que está capturando. Cada comprobación siguiente es una acción seguida de una consulta:
Registro de inicio de sesión: entre una vez con una contraseña deliberadamente equivocada y después entre correctamente. Ambos intentos deben aparecer, con Fallo llevando un motivo y Éxito llevando el método de autenticación.
Keylogger: abra una sesión SSH, ejecute un comando inofensivo y un comando que su política rechace. Ambos deben figurar, el segundo clasificado como Rechazar, e Ir a la sesión debe llevar de vuelta a esa sesión.
Cambio de contraseña: rote una cuenta gestionada y confirme que la cuenta aparece con la automatización o el usuario como Modificador y la dirección de origen rellenada.
Registro de acciones: cambie cualquier objeto, por ejemplo el grupo de un usuario, y confirme que la modificación queda registrada a su nombre.
Panel de control: ponga el filtro en Hoy y confirme que los contadores se han movido por las acciones que acaba de realizar.
Si reenvía a un SIEM, repita el paso 1 y confirme que el evento llega al recolector. Un asiento presente en la consola y ausente en el recolector es un problema de transporte o de puerto, no de auditoría.
Errores comunes
El evento que busca no está en el registro
El filtro de fechas lo excluye, o es más antiguo que la ventana de retención
Amplíe primero el período; si la ventana ya pasó, el asiento se ha perdido. Suba la retención en Configuración del sistema › Retención
Una sesión está en curso sobre el activo pero falta en el registro
La sesión nunca se registró como activa, así que las rutinas de limpieza pueden cerrarla sin que se vea
Búsquela en Sesiones históricas; los casos recurrentes son un problema de instalación, no de filtro
Faltan comandos de una sesión
La captura de comandos cubre SSH y Telnet; los protocolos gráficos dejan una grabación, no una lista de comandos
Use la grabación para RDP, VNC y sesiones web
Un comando figura como Rechazar, pero el usuario dice que se ejecutó
La fila es el intento bloqueado, no una ejecución
Confírmelo con la grabación de la sesión; los comandos bloqueados nunca llegan al destino
No puede ver los asientos de otro usuario
El RBAC no concede visibilidad de auditoría a su rol
Ajuste el rol. Consulte Roles
No llega nada al SIEM
Protocolo o puerto equivocados, o el recolector no es alcanzable desde los nodos
Compruebe 514/UDP, 514/TCP y 6514/TLS y pruebe el alcance desde cada nodo
Referencia de campos
Registro de inicio de sesión
Usuario
La cuenta que intentó iniciar sesión
Método de autenticación
Cómo se autenticó: contraseña, MFA, etcétera
Descripción del motivo
Detalle de un fallo, por ejemplo que el usuario o la contraseña era incorrecto
Estado
Éxito o Fallo
Fecha de inicio de sesión
Fecha y hora del intento
Registros de sesión
Número
Identificador único de la sesión
Usuario
Quién abrió la sesión
Objetivo
El activo al que se accedió, con su nombre y dirección IP
Cuenta
La credencial utilizada
Protocolo
SSH, RDP, SFTP, HTTP y otros
Fecha de inicio
Cuándo empezó la sesión
Operación
Reproducir para ver la grabación, Descargar para guardarla
Usuarios en línea
Usuario
El usuario conectado
Método de autenticación
Cómo se autenticó
Fecha de inicio de sesión
Cuándo se conectó
Activo
Si la sesión sigue activa
Operación
Desconectar para terminar la sesión de consola de ese usuario
Usted no puede desconectarse a sí mismo desde Usuarios en línea, porque el intento se rechaza al tratarse de su propia sesión. La lista cubre a los usuarios conectados a través de la consola web; las sesiones sobre activos se terminan desde Registros de sesión o desde la monitorización en vivo.
Cambio de contraseña
Usuario
La cuenta cuya contraseña cambió
Modificador
El usuario o proceso que la cambió: la propia cuenta, un administrador o un trabajo de rotación
Dirección remota
Dirección de origen del cambio
Fecha
Cuándo ocurrió
Keylogger
Comando
El comando tal como se tecleó
Nivel de riesgo
Aceptar (permitido por la política) o Rechazar (bloqueado por una regla)
Usuario
Quién lo tecleó
Activos
Dónde se ejecutó
Cuenta
La credencial utilizada
Sesión
Ir a la sesión, un enlace a la sesión de origen
Un árbol de activos a la derecha de la página acota la lista a un solo activo, y es la forma más rápida de revisar todo lo que se tecleó en un host.
Transferencias
ID
Identificador único de la transferencia
Usuario
Quién transfirió el archivo
Activos
Activo de origen o de destino
Cuenta
La credencial utilizada
Operación
Sentido de la transferencia: Descargar o Subir
Nombre del archivo
Nombre del archivo transferido
Operación (botón)
Recupera una copia del archivo transferido
Lista de trabajos y Ejecuciones
Nombre
Nombre del trabajo
Comando
El comando configurado para ejecutarse, por ejemplo win_shell:reboot -s -t 0
Tipo
Comando, subida de archivo, etcétera
Ejecución periódica
Expresión cron de la programación, por ejemplo 0 0 * * *
Intervalo
Intervalo entre ejecuciones
Creador
Quién o qué inició una ejecución
Tipo de tarea
adhoc para una ejecución manual, upload_file para una subida
Finalizado
Si la ejecución se completó
¿Tuvo éxito?
Si la ejecución fue correcta
Operación
Ver para el detalle de la ejecución, Detener para interrumpir una tarea en curso
Páginas relacionadas
Grabaciones de sesión: la reproducción que hay detrás de un registro de sesión
Informes: extractos repetibles de esos mismos asientos
Inspección de comandos: de dónde viene la clasificación Aceptar y Rechazar
Syslog y SIEM: reenviar el registro fuera del appliance
Puntuación de riesgo: la lectura conductual de esos mismos eventos
Atualizado
Isto foi útil?