El uso de bitácoras en el ambiente de la seguridad ha tomado mucha importancia para el análisis de alguna posible brecha de seguridad, los vectores de ataque están a la orden del día y si no tengo una visión de lo que está pasando en mis equipos o red, no hay mucho que hacer, incluso podría estar en medio de un ataque y no me daría cuenta.

Una gran opción es hacer un modelo de gestión de bitácoras, que nos mostrará los eventos en los dispositivos conectados a la red corporativa, una de las herramientas que nos puede ayudar a este propósito es el ya conocido Active Directory o Directorio Activo de Windows.

Al ser la parte central de la administración del dominio Windows, Active Directory es un componente con un nivel crítico, pues si falta puede afectar toda la red.

Imagínate que falla el servicio de directorio ¿qué haces? Implementar un modelo de gestión de bitácoras aplica perfecto en este caso, pues cuando los datos se graban rápidamente en las bitácoras, basta con un análisis a fondo para encontrar la raíz de la falla.

Todas las operaciones de Active Directory afectan directamente al usuario que accede y al funcionamiento de las máquinas de la red, en cuanto al servicio del directorio y contexto de nombres de origen. Cada operación de los objetos de Active Directory se convierte en una evidencia.

El poder conocer que pasa día a día con la red beneficia directamente a tu nivel de seguridad, pues cada vez que exista la sospecha de un incidente en la infraestructura de TI, basta con la revisión de las bitácoras correspondientes para tomar una acción antes de sufrir cualquier tipo de impacto.

Para muchos administradores de TI, hablar de bitácora es hablar de "logs” o registros.

Muchas veces el uso de bitácoras se deja de lado y no se le toma la importancia que merece. Pero, ¿Qué es una bitácora? La definición es simple:

Una bitácora es un almacén de datos en el cual se puede ver registro de evento en el sistema.

Existen distintos tipos de bitácoras:

• Inicio de sesión
• Cambios de un objeto
• Caída de un servidor
• Posible ataque

Sin duda, hay muchas más que aumentan el nivel de seguridad y minimizan el nivel de riesgos; pues cuando se instala algún nuevo elemento en la red, por una mala práctica se deja en valores por defecto, no se habilitan las bitácoras y no tenemos visión de los eventos.

Si algún ataque enfocado en saltarse las medidas de seguridad es perpetrado no podríamos ver estas anomalías y por ende no podríamos ver que estamos siendo atacados.

Por tanto, para tener un buen control de las bitácoras se hace necesario:

• Contar con un gestor de bitácoras
• Activar bitácoras que vayan de acuerdo al perfil de las soluciones implementadas y enviarlas al gestor
• Gestor capaz de correlacionar eventos y generar alertas
• Implementar una política interna que obligue a todo dispositivo a enviar sus bitácoras
• Equipo especializado para la revisión y gestión de las bitácoras
• Plan de acción en caso de detectar algún problema de seguridad

Las bitácoras pueden ser nuestra guía # 1 para hacer mejoras a nuestros parámetros de seguridad

Recuerda que las bitácoras son vitales para saber que existe en nuestro entorno de red, en seguridad son primordiales pues son la evidencia perfecta a la hora enfrentar cualquier tipo de ataque. Entre otros de los beneficios, cabe resaltar el ahorro en el consumo de tiempo por parte del  equipo de TI.

Una vez que se tiene un plan únicamente nos resta monitorear y buscar mejoras para detectar algún ataque, tomar medidas necesarias y reaccionar de acuerdo a los planes que a nivel corporación se tengan. 

Espero estas recomendaciones te funcionen, si quieres armar un plan o estrategia para incorporarlas y no sabes cómo empezar, escríbeme y lo revisamos.