En muchas infraestructuras, los periódicos existen pero siguen poco explotados. Sin embargo, son un producto clave para entender los incidentes y mejorar la seguridad.
Por qué los registros son esenciales
- Analizar un fallo o mal funcionamiento
- Identificar conductas anormales
- Racación de una acción administrativa
- Documentar un incidente de seguridad
Fuentes de grandes troncos
- Windows Event Viewer: sistema, seguridad, aplicaciones
- Cortafuegos: conexiones bloqueadas y autorizadas
- Servidores web: acceso, errores, consultas sospechosas
- NPV: conexiones remotas y anomalías
- Active Directory: autenticaciones y modificaciones
Centralizar y correlacionar
Recopilar localmente es útil, pero centralizar los registros en una plataforma de supervisión o SIEM permite una explotación mucho más relevante.
Un incidente sin sentido es a menudo un incidente mal entendido. Y un incidente incomible es difícil de corregir en un largo camino.
