> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/pam/administration/audit/audit-trail.md). # Registro de auditoría Dónde escribe la solución cada inicio de sesión, comando, cambio de contraseña, transferencia de archivos y operación administrativa, cuánto tiempo se conservan esos registros y cómo consultarlos o re ## Qué es esto y cuándo usarlo El registro de auditoría es el conjunto de asientos consultables que la solución escribe para todo lo que pasa por ella: quién inició sesión y desde dónde, qué comandos se ejecutaron dentro de una sesión, qué contraseñas cambiaron, qué archivos se movieron y qué objetos administrativos se crearon, editaron o eliminaron. Úselo cuando necesite responder a una pregunta sobre el pasado: "quién reinició aquel host el viernes", "se usó esta cuenta fuera del horario laboral", "quién cambió aquella regla de autorización". Tres cosas del área **Auditoría** se confunden con facilidad: | Área | Qué contiene | | ------------------------------------------------------------------- | -------------------------------------------------------------------------------------- | | **Registro de auditoría** (esta página) | Los asientos en sí: texto, consultable, filtrable, exportable | | [Grabaciones de sesión](/es/pam/administration/audit/recordings.md) | La reproducción en vídeo de una sesión, lanzada desde el registro de la sesión | | [Informes](/es/pam/administration/audit/reports.md) | Extractos empaquetados de esos mismos datos, generados a demanda o de forma programada | El registro de auditoría es la fuente; las grabaciones y los informes son dos maneras de mirarlo. ## Antes de empezar * Su rol debe conceder acceso al área **Auditoría**. Leer los asientos de otras personas está controlado por RBAC. Consulte [Roles](/es/pam/administration/identities/roles.md). * La retención es un ajuste de todo el sistema, definido en **Configuración del sistema › Retención**. Los asientos más antiguos que la ventana de retención ya no están ahí para encontrarlos. * Para reenviar los asientos fuera del appliance, el destino syslog o Elasticsearch debe ser alcanzable desde los nodos. ## Dónde vive cada asiento | Asiento | Ubicación en la consola | Qué responde | | -------------------------------- | ------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------ | | **Registro de inicio de sesión** | **Auditoría › Consola › Registro de inicio de sesión** | Quién intentó autenticarse, con qué método, desde qué dirección y si lo consiguió | | **Registros de sesión** | **Auditoría › Consola › Registros de sesión** | Cada sesión abierta sobre un activo, en curso e histórica, con reproducción y descarga | | **Usuarios en línea** | **Auditoría › Consola › Usuarios en línea** | Quién está conectado a la consola ahora mismo, con la opción de desconectarlo | | **Cambios de contraseña** | **Auditoría › Consola › Cambio de contraseña** | Qué cuenta cambió de contraseña, por quién o por qué automatización, desde qué dirección | | **Registro de acciones** | **Auditoría › Auditoría de registros › Registro de acciones** | Creación, modificación y eliminación de objetos: usuarios, activos, reglas, permisos | | **Comandos** | **Auditoría › Sesiones › Keylogger** | Cada comando tecleado en una sesión SSH o Telnet, con su clasificación de riesgo y un enlace de vuelta a la sesión | | **Transferencias de archivos** | **Auditoría › Sesiones › Transferencias** | Subidas y descargas realizadas durante las sesiones, con una copia del archivo | | **Lista de trabajos** | **Auditoría › Auditoría de operaciones › Lista de trabajos** | Las automatizaciones configuradas para ejecutarse, con sus programaciones | | **Ejecuciones** | **Auditoría › Auditoría de operaciones › Ejecuciones** | Cada ejecución de cada automatización, si terminó y si tuvo éxito | El **Panel de control** en la parte superior del área **Auditoría** es la vista consolidada de esos mismos datos sobre **Hoy**, **7 días** o **30 días**: total de comandos y cuántos de ellos eran comandos de riesgo, trabajos programados y en ejecución, sesiones en línea y totales, archivos transferidos, accesos, entradas del registro de operaciones y contraseñas cambiadas, seguido de una tabla con las sesiones más recientes. ## Qué queda registrado El registro se agrupa en familias de eventos: | Familia | Eventos | | ------------------------------ | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | **Actividad operativa** | Acceso, intento de acceso, acceso bloqueado, cambio de contraseña | | **Actividad de configuración** | Cambios en la configuración del sistema y de los objetos | | **Actividad de auditoría** | Acceso a informes, a registros de comandos, a archivos transferidos y a grabaciones de sesión | | **Actividad de autenticación** | Autenticaciones por contraseña correctas y fallidas, contraseñas sin usar durante más de un número dado de días, contraseñas usadas, contraseñas cambiadas, descubrimiento de cuentas, registro de cuenta, uso de cuenta, asociación de cuenta | | **RBAC de acceso** | Usuarios vinculados a un permiso, usuarios retirados de un permiso, cambios en los permisos de acceso | {% hint style="info" %} Leer el registro forma parte del propio registro. Abrir una grabación, un asiento de comando, un archivo transferido o un informe se escribe como evento de *actividad de auditoría*, de modo que consultar la evidencia es tan trazable como producirla. {% endhint %} ### Retención Los asientos se pueden consultar desde la consola y se conservan según las políticas de **Configuración del sistema › Retención**. Fije esa ventana antes de necesitarla: una pregunta planteada fuera de la ventana ya no se puede responder, y acortar la retención descarta el histórico de inmediato. ### Reenvío a un SIEM Los asientos pueden enviarse a un recolector externo, para que el registro sobreviva con independencia del appliance. Los destinos admitidos son syslog sobre UDP, TCP o TLS, Elasticsearch, correo electrónico y exportación en texto plano. | Protocolo | Puerto predeterminado | | ---------- | --------------------- | | Syslog UDP | 514 | | Syslog TCP | 514 | | Syslog TLS | 6514 | El formato del asiento sigue un estándar común y lo consumen sin analizador propio los recolectores habituales: Splunk, IBM QRadar, Microsoft Sentinel, Elastic Security y la pila ELK, OpenSearch, Google Security Operations, Securonix, LogRhythm, Graylog, Wazuh, Loki y Grafana, Fluentd y Fluent Bit, rsyslog y syslog-ng, SolarWinds, ManageEngine y Nagios. Configure el destino en **Configuración del sistema**. Consulte [Syslog y SIEM](/es/pam/administration/integrations/syslog-and-siem.md). ## Pasos Investigar un incidente tiene la misma forma en cualquier registro: 1. Abra el registro que contiene el tipo de evidencia que necesita, según la tabla anterior. 2. Acote el **período** con el selector de fechas en la parte superior de la página, con fecha de inicio y fecha de fin. Todo registro se abre sobre una ventana reciente, no sobre todo el histórico. 3. Busque por el identificador que realmente tiene. El **Registro de inicio de sesión** busca por nombre de usuario; los **Registros de sesión** buscan por usuario, activo, ID de usuario, ID de activo, cuenta, protocolo, origen del acceso, dirección remota y terminal. 4. Ordene por cualquier columna para juntar los extremos: fallos repetidos sobre un mismo usuario, o todas las sesiones sobre un mismo activo. 5. Siga el asiento hasta su contexto. Desde un comando en **Keylogger**, use **Ir a la sesión** para llegar a la sesión donde se tecleó y, desde ahí, a su [grabación](/es/pam/administration/audit/recordings.md). Desde **Transferencias**, descargue la copia del archivo que se movió. 6. Exporte el resultado si la evidencia tiene que salir de la consola, o construya un extracto repetible en [Informes](/es/pam/administration/audit/reports.md). ## Lo que debería ver Cada registro es una tabla que puede filtrar, ordenar y exportar. Conviene conocer dos detalles antes de leerlos: * En **Registros de sesión**, las sesiones en curso están bajo **Sesiones en línea** y las terminadas bajo **Sesiones históricas**. Una sesión que terminó aparece en la segunda pestaña con **Reproducir** y **Descargar** en la columna **Operación**. * En **Keylogger**, la columna **Nivel de riesgo** muestra cómo trató la política al comando: **Aceptar** en verde significa que se permitió, **Rechazar** en rojo significa que se bloqueó por infringir una regla. La clasificación viene de la [inspección de comandos](/es/pam/administration/access/command-filtering.md), así que una fila roja es un intento bloqueado, no un comando que se ejecutó. ## Cómo verificar que funcionó No se fíe de que exista la página de registro; demuestre que está capturando. Cada comprobación siguiente es una acción seguida de una consulta: 1. **Registro de inicio de sesión**: entre una vez con una contraseña deliberadamente equivocada y después entre correctamente. Ambos intentos deben aparecer, con **Fallo** llevando un motivo y **Éxito** llevando el método de autenticación. 2. **Keylogger**: abra una sesión SSH, ejecute un comando inofensivo y un comando que su política rechace. Ambos deben figurar, el segundo clasificado como **Rechazar**, e **Ir a la sesión** debe llevar de vuelta a esa sesión. 3. **Cambio de contraseña**: rote una cuenta gestionada y confirme que la cuenta aparece con la automatización o el usuario como **Modificador** y la dirección de origen rellenada. 4. **Registro de acciones**: cambie cualquier objeto, por ejemplo el grupo de un usuario, y confirme que la modificación queda registrada a su nombre. 5. **Panel de control**: ponga el filtro en **Hoy** y confirme que los contadores se han movido por las acciones que acaba de realizar. Si reenvía a un SIEM, repita el paso 1 y confirme que el evento llega al recolector. Un asiento presente en la consola y ausente en el recolector es un problema de transporte o de puerto, no de auditoría. ## Errores comunes | Síntoma | Causa | Solución | | ------------------------------------------------------------------------ | ---------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------ | | El evento que busca no está en el registro | El filtro de fechas lo excluye, o es más antiguo que la ventana de retención | Amplíe primero el período; si la ventana ya pasó, el asiento se ha perdido. Suba la retención en **Configuración del sistema › Retención** | | Una sesión está en curso sobre el activo pero falta en el registro | La sesión nunca se registró como activa, así que las rutinas de limpieza pueden cerrarla sin que se vea | Búsquela en **Sesiones históricas**; los casos recurrentes son un problema de instalación, no de filtro | | Faltan comandos de una sesión | La captura de comandos cubre SSH y Telnet; los protocolos gráficos dejan una grabación, no una lista de comandos | Use la [grabación](/es/pam/administration/audit/recordings.md) para RDP, VNC y sesiones web | | Un comando figura como **Rechazar**, pero el usuario dice que se ejecutó | La fila es el intento bloqueado, no una ejecución | Confírmelo con la grabación de la sesión; los comandos bloqueados nunca llegan al destino | | No puede ver los asientos de otro usuario | El RBAC no concede visibilidad de auditoría a su rol | Ajuste el rol. Consulte [Roles](/es/pam/administration/identities/roles.md) | | No llega nada al SIEM | Protocolo o puerto equivocados, o el recolector no es alcanzable desde los nodos | Compruebe 514/UDP, 514/TCP y 6514/TLS y pruebe el alcance desde cada nodo | ## Referencia de campos ### Registro de inicio de sesión | Campo | Qué contiene | | ------------------------- | ------------------------------------------------------------------------------ | | Usuario | La cuenta que intentó iniciar sesión | | Método de autenticación | Cómo se autenticó: contraseña, MFA, etcétera | | Descripción del motivo | Detalle de un fallo, por ejemplo que el usuario o la contraseña era incorrecto | | Estado | **Éxito** o **Fallo** | | Fecha de inicio de sesión | Fecha y hora del intento | ### Registros de sesión | Campo | Qué contiene | | --------------- | ------------------------------------------------------------------ | | Número | Identificador único de la sesión | | Usuario | Quién abrió la sesión | | Objetivo | El activo al que se accedió, con su nombre y dirección IP | | Cuenta | La credencial utilizada | | Protocolo | SSH, RDP, SFTP, HTTP y otros | | Fecha de inicio | Cuándo empezó la sesión | | Operación | **Reproducir** para ver la grabación, **Descargar** para guardarla | ### Usuarios en línea | Campo | Qué contiene | | ------------------------- | ----------------------------------------------------------------- | | Usuario | El usuario conectado | | Método de autenticación | Cómo se autenticó | | Fecha de inicio de sesión | Cuándo se conectó | | Activo | Si la sesión sigue activa | | Operación | **Desconectar** para terminar la sesión de consola de ese usuario | {% hint style="warning" %} Usted no puede desconectarse a sí mismo desde **Usuarios en línea**, porque el intento se rechaza al tratarse de su propia sesión. La lista cubre a los usuarios conectados a través de la consola web; las sesiones sobre activos se terminan desde **Registros de sesión** o desde la [monitorización en vivo](/es/pam/administration/sessions/live-monitoring.md). {% endhint %} ### Cambio de contraseña | Campo | Qué contiene | | ---------------- | ----------------------------------------------------------------------------------------------- | | Usuario | La cuenta cuya contraseña cambió | | Modificador | El usuario o proceso que la cambió: la propia cuenta, un administrador o un trabajo de rotación | | Dirección remota | Dirección de origen del cambio | | Fecha | Cuándo ocurrió | ### Keylogger | Campo | Qué contiene | | --------------- | -------------------------------------------------------------------------------- | | Comando | El comando tal como se tecleó | | Nivel de riesgo | **Aceptar** (permitido por la política) o **Rechazar** (bloqueado por una regla) | | Usuario | Quién lo tecleó | | Activos | Dónde se ejecutó | | Cuenta | La credencial utilizada | | Sesión | **Ir a la sesión**, un enlace a la sesión de origen | Un árbol de activos a la derecha de la página acota la lista a un solo activo, y es la forma más rápida de revisar todo lo que se tecleó en un host. ### Transferencias | Campo | Qué contiene | | ------------------ | ------------------------------------------------------ | | ID | Identificador único de la transferencia | | Usuario | Quién transfirió el archivo | | Activos | Activo de origen o de destino | | Cuenta | La credencial utilizada | | Operación | Sentido de la transferencia: **Descargar** o **Subir** | | Nombre del archivo | Nombre del archivo transferido | | Operación (botón) | Recupera una copia del archivo transferido | ### Lista de trabajos y Ejecuciones | Campo | Qué contiene | | ------------------- | ---------------------------------------------------------------------------------------- | | Nombre | Nombre del trabajo | | Comando | El comando configurado para ejecutarse, por ejemplo `win_shell:reboot -s -t 0` | | Tipo | Comando, subida de archivo, etcétera | | Ejecución periódica | Expresión cron de la programación, por ejemplo `0 0 * * *` | | Intervalo | Intervalo entre ejecuciones | | Creador | Quién o qué inició una ejecución | | Tipo de tarea | `adhoc` para una ejecución manual, `upload_file` para una subida | | Finalizado | Si la ejecución se completó | | ¿Tuvo éxito? | Si la ejecución fue correcta | | Operación | **Ver** para el detalle de la ejecución, **Detener** para interrumpir una tarea en curso | ## Páginas relacionadas * [Grabaciones de sesión](/es/pam/administration/audit/recordings.md): la reproducción que hay detrás de un registro de sesión * [Informes](/es/pam/administration/audit/reports.md): extractos repetibles de esos mismos asientos * [Inspección de comandos](/es/pam/administration/access/command-filtering.md): de dónde viene la clasificación **Aceptar** y **Rechazar** * [Syslog y SIEM](/es/pam/administration/integrations/syslog-and-siem.md): reenviar el registro fuera del appliance * [Puntuación de riesgo](/es/pam/administration/ueba/risk-score.md): la lectura conductual de esos mismos eventos