> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/sonar/administration/audit/audit-trail.md). # Registro de auditoría Qué registra SONAR en Reports & Audits › Audits y en la pestaña Audits: inicios de sesión, cambios, comandos, scripts, sesiones remotas y acciones masivas, con filtros, exportación y retención. ## Qué es y cuándo usarlo El registro de auditoría es la lista de las acciones que las personas realizan a través de la consola y de la API: quién inició sesión, quién cambió qué objeto, quién ejecutó un comando o un script en qué dispositivo, quién abrió una sesión remota, quién lanzó una acción masiva. Cada entrada conserva el usuario, la hora, la dirección de origen, un mensaje y, en los cambios de objetos, los valores de antes y de después del cambio. Úselo para responder a una pregunta sobre el pasado: quién eliminó ese dispositivo, quién cambió la plantilla de alerta predeterminada, qué scripts se ejecutaron en `WS-0001` la semana pasada, quién no consiguió iniciar sesión esta mañana. Las mismas entradas se muestran en dos lugares: | Dónde | Qué muestra | | ------------------------------------- | -------------------------------------------------------------------------- | | **Reports & Audits › Audits** | Todo el registro, con filtros de ámbito, usuario, acción, objeto y período | | La pestaña **Audits** del dispositivo | Solo las entradas registradas para ese dispositivo | ## Antes de empezar * Su rol necesita **View Audit Logs** (grupo **Logs** en **Admin Center › Roles**). Sin ese permiso, **Audits** no aparece en el menú y la pestaña **Audits** del dispositivo no devuelve datos. Vea [Roles y permisos](/es/sonar/administration/identities/roles.md). * Las entradas más antiguas que el período de retención de auditoría ya no están disponibles. Revise primero **Admin Center › Settings › Retention**; vea [Retención de datos](/es/sonar/administration/settings/retention.md). ## Qué se registra | Acción | Se registra cuando | Mensaje típico | | ---------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------- | | **Login** | Un usuario inicia sesión en la consola | `jdoe logged in successfully` | | **Failed Login** | Se rechaza una contraseña o un código de doble factor | `jdoe failed to login: Credentials were rejected`, o `...: Two Factor token rejected` | | **Add Object**, **Modify Object**, **Delete Object** | Un usuario crea, cambia o elimina un objeto a través de la consola o de la API | `jdoe modified client CLIENT-A` | | **Agent Install** | Un agente nuevo se registra en SONAR | Nombra el nuevo dispositivo, por ejemplo `... installed new agent WS-0001` | | **Execute Command** | Se envía un comando a un dispositivo | `jdoe issued powershell command on WS-0001.` | | **Execute Script** | Se ejecuta un script en un dispositivo, o se prueba | `jdoe ran script: "Clear temp" on WS-0001` | | **Remote Session** | Un usuario abre el acceso remoto a un dispositivo | Nombra al usuario y el dispositivo | | **Bulk Action** | Se ejecuta de forma masiva un comando, un script o una acción de actualizaciones, o se mueven dispositivos entre sitios de forma masiva | `jdoe executed bulk script: Clear temp on all agents within client: CLIENT-A` | | **URL Action** | Se ejecuta una acción de URL contra un dispositivo, un cliente o un sitio, o se prueba una acción de URL o un webhook | Nombra la URL y el destino | Los cambios de objetos abarcan dispositivos, clientes, sitios, usuarios, roles, claves de API, scripts, checks, tareas automatizadas, políticas de automatización, políticas de actualizaciones, plantillas de alerta, los ajustes de **Settings**, campos personalizados, entradas del almacén de claves, acciones de URL, webhooks y políticas de acceso. Un cambio solo se escribe cuando un valor cambió de verdad; guardar un formulario sin cambios no añade nada. Cuando se elimina un dispositivo, el motivo escrito en la confirmación se añade al mensaje de **Delete Object**. Las verificaciones de MFA reforzada (step-up) también se registran. Aparecen con la acción **Mfa Stepup** o **Failed Mfa Stepup**. {% hint style="info" %} El registro recoge lo que hacen las personas. Los datos que los agentes informan por su cuenta, como los resultados de checks, el inventario y las listas de software, no son entradas de auditoría. Esos datos están en el dispositivo; vea [Detalles del dispositivo](/es/sonar/administration/devices/device-details.md). {% endhint %} ## Pasos ### Buscar en todo el registro 1. Abra **Reports & Audits › Audits**. La página se abre en **Sonar Audits**, con la última semana, de lo más reciente a lo más antiguo. 2. En **Scope**, elija **Clients** o **Agents** y luego seleccione una o varias entradas en la lista **Clients** o **Agent**. Deje ambas vacías para buscar en todo. 3. En **User**, seleccione uno o varios usuarios en **Users**. 4. En **Actions**, haga clic en los botones que desee: **Login**, **Failed Login**, **Add**, **Modify**, **Delete**, **Agent Install**. Un segundo clic desactiva el botón. 5. En **More Actions**, seleccione otras acciones en **Action**, como **Execute Command**, **Execute Script**, **Remote Session**, **Bulk Action** o **URL Action**. 6. En **Object**, seleccione los tipos de objeto que desea conservar, como **Client**, **User** o **Core Settings**. 7. En **Time Window**, elija el período, de **Today** a **All Time**. 8. Haga clic en **Apply Filters**. 9. Haga clic en una fila para abrir **Audit details** con los valores registrados. 10. Para exportar las filas, haga clic en el icono de descarga (**Export**) encima de la tabla. ### Revisar un dispositivo 1. Seleccione el dispositivo en la lista de dispositivos para abrir su panel. 2. Abra la pestaña **Audits**. 3. Afine con **Users**, **Action**, **Time** o los botones de acción. La lista se actualiza en cuanto cambia un filtro. 4. Haga clic en una fila para abrir **Audit details**. ## Qué debe ver Una tabla de entradas con la hora, el usuario, la acción como una insignia de color (verde para altas e instalaciones, amarillo para cambios, rojo para eliminaciones e inicios de sesión fallidos, azul para el resto), el tipo de objeto, el mensaje y la dirección de origen. En las entradas registradas para un dispositivo, **Client** y **Site** muestran el cliente y el sitio a los que pertenece ese dispositivo. Debajo de la tabla, un selector fija 25, 50, 100, 500 o 1000 filas por página, y **Page 1 of N**, con las flechas, permite pasar de una página a otra. **Audit details** se abre a la derecha, con el mensaje como subtítulo y dos bloques, **Before** y **After**. Una entrada **Add Object** solo tiene valor en **After**, una entrada **Delete Object** solo en **Before**, y una entrada **Modify Object** tiene ambos, para que pueda compararlos campo por campo. Las entradas sin nada que mostrar indican **No data**. En las políticas de acceso, los bloques indican **Content restricted**; el historial de cambios se guarda en el **Audit Trail** de la propia política (vea [Políticas de acceso](/es/sonar/administration/access/access-policies.md)). La exportación es un archivo CSV llamado `export.csv` con las columnas de la tabla. Contiene las filas de la página cargada en ese momento. ## Cómo verificar que funcionó 1. Cierre la sesión, inicie sesión una vez con una contraseña incorrecta y luego inicie sesión correctamente. 2. Abra **Reports & Audits › Audits**, fije **Time Window** en **Today**, haga clic en los botones **Login** y **Failed Login** y luego en **Apply Filters**. Ambos intentos deben aparecer con su nombre de usuario, con su dirección en **Client IP**. 3. Cambie un valor en **Admin Center › Settings › General**, por ejemplo **Default date format**, y guarde. 4. De vuelta en **Audits**, desactive los botones de acción, seleccione **Core Settings** en **Object** y aplique. Debe aparecer una entrada **Modify Object**; su **Audit details** muestra el valor antiguo en **Before** y el nuevo en **After**. 5. Envíe un comando inofensivo a un dispositivo de prueba y luego abra la pestaña **Audits** de ese dispositivo. Debe haber una entrada **Execute Command** arriba del todo. ## Errores comunes | Síntoma | Causa | Solución | | ------------------------------------------------------------------------------------ | ----------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------- | | La entrada esperada no aparece | El **Time Window** la excluye | Amplíelo, hasta **All Time** | | La entrada falta incluso con **All Time** | Es más antigua que el período de retención de auditoría | Las entradas que superan el período se eliminan; aumente **Audit Logs (days)** en **Admin Center › Settings › Retention** para el futuro | | Los inicios de sesión y los cambios de ajustes desaparecen al seleccionar un cliente | **Clients** y **Agent** solo coinciden con entradas registradas para un dispositivo | Vacíe la lista **Clients** o **Agent** y vuelva a aplicar | | **Audits** no aparece en el menú | Al rol le falta **View Audit Logs** | Concédalo en **Admin Center › Roles** | | La exportación tiene menos filas que el total | La exportación toma la página cargada en ese momento | Fije 1000 filas por página y exporte cada página | | No se registra nada de los datos que envió un agente | El registro recoge las acciones de usuarios y de claves de API | Revise las pestañas propias del dispositivo | ## Referencia de campos ### Filtros | Filtro | Qué hace | Valores | Predeterminado | | ------------------------- | --------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------------- | | **Scope** | Elige si se acota por cliente o por dispositivo | **Clients**, **Agents** | **Clients** | | **Clients** | Conserva las entradas registradas para dispositivos de los clientes seleccionados | Uno o varios clientes | Vacío (todos) | | **Agent** | Conserva las entradas registradas para los dispositivos seleccionados | Uno o varios dispositivos | Vacío (todos) | | **Users** | Conserva las entradas hechas por los usuarios seleccionados | Uno o varios usuarios | Vacío (todos) | | Botones **Actions** | Selección rápida de las acciones más comunes | **Login**, **Failed Login**, **Add**, **Modify**, **Delete**, **Agent Install** | Ninguno seleccionado | | **Action** (More Actions) | La lista completa de acciones, combinada con los botones | Login, Failed Login, Add Object, Modify Object, Delete Object, Agent Install, Bulk Action, Execute Command, Execute Script, Remote Session, URL Action | Vacío (todas) | | **Object** | Conserva las entradas sobre los tipos de objeto seleccionados | Agent, Automated Task, Bulk Actions, Core Settings, Check, Client, Policy, Site, Script, User, Patch Policy, Alert Template, Role, URL Action, Custom Field | Vacío (todos) | | **Time** | Período cubierto | **Today**, **Last 3 Days**, **Last Week**, **Last 2 Weeks**, **Last Month**, **Last 3 Months**, **Last 6 Months**, **Last Year**, **All Time** | **Last Week** | En la pestaña **Audits** de un dispositivo no se muestran **Scope** ni **Object**: el dispositivo es el ámbito. ### Columnas | Columna | Qué contiene | | -------------------- | --------------------------------------------------------------------------------------------------------- | | **Time** | Cuándo ocurrió la acción, en su formato de fecha | | **Username** | Quién la realizó. En un inicio de sesión fallido, el nombre de usuario que se escribió | | **Action** | El tipo de acción | | **Object** | El tipo de objeto implicado | | **Message** | Una frase que describe la acción, con el nombre del objeto o del dispositivo | | **Client IP** | La dirección de la que vino la solicitud, cuando se registró | | **Client**, **Site** | El cliente y el sitio a los que pertenece el dispositivo, en las entradas registradas para un dispositivo | ## Páginas relacionadas * [Informes](/es/sonar/administration/audit/reports.md): generar documentos a partir de los datos de SONAR * [Retención de datos](/es/sonar/administration/settings/retention.md): cuánto tiempo se conservan las entradas de auditoría * [Roles y permisos](/es/sonar/administration/identities/roles.md): cómo conceder **View Audit Logs** * [Detalles del dispositivo](/es/sonar/administration/devices/device-details.md): el panel del dispositivo y sus pestañas * [Políticas de acceso](/es/sonar/administration/access/access-policies.md): el registro de auditoría propio de la política