Module 15: Network Logs Monitoring and Analysis

Comprender los conceptos de registro

El objetivo de esta sección es explicar los conceptos de registro (logging) en sistemas de información y su importancia en la gestión de la seguridad de la información. En general, el registro consiste en la recopilación y almacenamiento de eventos y actividades realizadas en un sistema, que luego pueden ser utilizados para monitorear y auditar el sistema, y para detectar y analizar posibles problemas de seguridad.

Algunos de los temas que se pueden incluir en la comprensión de los conceptos de registro son:

Tipos de eventos y actividades que se pueden registrar en un sistema, como inicios de sesión, acceso a archivos, modificaciones de configuración, intentos de acceso no autorizados, etc.
Formatos y estructuras de registro comunes, como syslog, eventos de seguridad de Windows, registros de bases de datos, etc.
Herramientas y sistemas de registro comunes, como herramientas de registro de sistema operativo, herramientas de registro de seguridad de red, sistemas de gestión de registros centralizados, etc.
Prácticas recomendadas para el registro, como la definición de políticas de registro, la configuración de niveles de registro apropiados, el almacenamiento y la protección de registros, la revisión y el análisis de registros, etc.

Tipos de fuentes de registro de eventos:

Windows Server: Los registros de eventos de Windows Server se encuentran en la siguiente ruta: C:\Windows\System32\winevt\Logs
Linux: Los registros de eventos de Linux se encuentran en la siguiente ruta: /var/log
Servidores web: Los registros de eventos de los servidores web se encuentran en la siguiente ruta: /inetpub/logs/logfiles

Enfoques de registro (Logging)

Registro local:

Implica registrar las actividades del usuario en la máquina del host.
En otras palabras, es el proceso de escribir logs en archivos almacenados en el disco local.
Este enfoque es utilizado por aquellos sistemas que tienen un número limitado de hosts.

Ejemplos de eventos que se pueden registrar:

Fallo y éxito en la modificación de credenciales de usuario y derechos de acceso, como actualizaciones de cuenta, creación y eliminación.
Alteración exitosa/fallida de los privilegios de acceso de un usuario
Crashes del sistema, apagado, reinicio o inicio
etc.

Registro centralizado:

El registro centralizado implica almacenar los logs generados por los dispositivos de red en un servidor central.
En otras palabras, es el proceso de recopilar y agregar logs en una ubicación central.

Ejemplos de eventos que se pueden registrar:

Adición/eliminación de dispositivos de red
Cambios implementados en la configuración de la red
Cambios en el acceso de los usuarios a la red
Acceso de usuario exitoso/fallido a la red iniciado hacia/desde la computadora
Crashes de la red
etc.

Analizar la supervisión y el análisis de registros en sistemas Windows

En los sistemas Windows, los registros se almacenan en archivos de registro, que se encuentran en la siguiente ruta:

Archivos de registro del sistema: C:\Windows\System32\winevt\Logs
Archivos de registro de aplicaciones: C:\Windows\System32\winevt\Logs\Application.evtx
Archivos de registro de seguridad: C:\Windows\System32\winevt\Logs\Security.evtx
Archivos de registro de instalación: C:\Windows\Inf\setupapi.dev.log
Archivos de registro de actualización: C:\Windows\WindowsUpdate.log

Existen diferentes tipos de registros en los sistemas Windows, que incluyen:

Registro de eventos de aplicación: Contiene información sobre los eventos generados por las aplicaciones instaladas en el sistema.
Registro de eventos de seguridad: Contiene información sobre los eventos relacionados con la seguridad, como intentos de inicio de sesión fallidos o cambios en la configuración de seguridad.
Registro de eventos del sistema: Contiene información sobre los eventos generados por el sistema operativo, como mensajes de error y advertencias.

El monitoreo y análisis de los registros en sistemas Windows es importante para detectar problemas de seguridad y solucionar problemas de rendimiento. Las herramientas que se pueden utilizar para el monitoreo y análisis de registros en sistemas Windows incluyen:

Visor de eventos: Es una herramienta integrada en el sistema operativo que permite ver los registros de eventos.
PowerShell: Es una herramienta de línea de comandos que se puede utilizar para realizar tareas de administración del sistema, incluyendo la administración de registros.
EventLog Analyzer: Es una herramienta de monitoreo y análisis de registros de eventos que permite recopilar, analizar y generar informes de registros en sistemas Windows.

En resumen, el monitoreo y análisis de registros en sistemas Windows es una práctica importante para garantizar la seguridad y el rendimiento del sistema. Hay varias herramientas disponibles para realizar estas tareas, y es importante conocer la ubicación de los archivos de registro y los diferentes tipos de registros en el sistema.

Analizar la supervisión y el análisis de registros en sistemas Linux

En los sistemas Linux, los registros son esenciales para comprender el estado de los servicios y las aplicaciones que se ejecutan en el sistema. Los registros se almacenan en varios archivos que se encuentran en el directorio /var/log. A continuación, se describen algunos de los archivos de registro más comunes:

/var/log/messages: Este archivo contiene información general del sistema y de los servicios. Registra mensajes del kernel, errores del sistema y eventos de depuración.
/var/log/auth.log: Este archivo registra las actividades de autenticación y autorización, incluyendo inicios de sesión, cambios de contraseña y modificaciones en los permisos de los archivos y directorios.
/var/log/syslog: Este archivo es una combinación de los registros de kernel y del sistema, incluyendo mensajes de inicio y apagado del sistema, así como mensajes del demonio syslog.
/var/log/httpd/ y /var/log/nginx/: Estos directorios contienen los archivos de registro de los servidores web Apache y Nginx, respectivamente. Los archivos de registro contienen información sobre las solicitudes HTTP entrantes y las respuestas enviadas por el servidor.
/var/log/maillog: Este archivo registra los mensajes del servidor de correo y las actividades de los usuarios.
/var/log/secure: Este archivo registra los eventos de autenticación y autorización del sistema, incluyendo inicios de sesión de usuarios y fallidos intentos de acceso.
/var/log/yum.log: Este archivo registra las actividades del gestor de paquetes Yum en los sistemas CentOS y Red Hat.

Además, los registros tienen un nivel de gravedad o severidad, que indica la importancia de los mensajes. En Linux, los niveles de severidad se representan mediante un valor numérico, donde 0 es el nivel más alto y 7 el nivel más bajo. A continuación, se describen los diferentes niveles de severidad y su valor correspondiente:

Emergency (0): Este nivel indica una situación crítica que requiere una acción inmediata.
Alert (1): Este nivel indica una situación que debe ser corregida de inmediato.
Critical (2): Este nivel indica una situación crítica que requiere una atención inmediata.
Error (3): Este nivel indica un error que afecta el funcionamiento normal del sistema.
Warning (4): Este nivel indica una situación que debe ser monitoreada, ya que podría llevar a errores o problemas en el futuro.
Notice (5): Este nivel indica un evento normal que es de interés para el administrador.
Info (6): Este nivel indica información general sobre el sistema o una aplicación.
Debug (7): Este nivel indica información de depuración que solo es relevante para los desarrolladores y los ingenieros del sistema.

A continuación se presentan algunos comandos típicos de Linux para la búsqueda, lectura y análisis de archivos de registro:

grep: Busca patrones de texto en un archivo o en una salida de comando. Por ejemplo, grep "error" logfile.txt buscará todas las líneas que contengan la palabra «error» en el archivo logfile.txt.
tail: Muestra las últimas líneas de un archivo. Por defecto, muestra las últimas 10 líneas. Por ejemplo, tail logfile.txt mostrará las últimas 10 líneas del archivo logfile.txt.
head: Muestra las primeras líneas de un archivo. Por defecto, muestra las primeras 10 líneas. Por ejemplo, head logfile.txt mostrará las primeras 10 líneas del archivo logfile.txt.
less: Permite leer y navegar por un archivo de manera interactiva. Por ejemplo, less logfile.txt abrirá el archivo logfile.txt y permitirá desplazarse hacia arriba y hacia abajo para leer el contenido.
file: Muestra el tipo de archivo según su contenido. Por ejemplo, file logfile.txt mostrará el tipo de archivo (por ejemplo, texto plano) del archivo logfile.txt.
find: Busca archivos en el sistema de archivos. Por ejemplo, find /var/log -name "logfile*" buscará todos los archivos en el directorio /var/log que comiencen con el nombre «logfile».
awk: Permite procesar y analizar archivos de texto mediante la definición de patrones y acciones. Por ejemplo, awk '/error/{print $0}' logfile.txt imprimirá todas las líneas del archivo logfile.txt que contengan la palabra «error».
sed: Permite realizar cambios en un archivo mediante la definición de patrones y sustituciones. Por ejemplo, sed 's/error/warning/g' logfile.txt reemplazará todas las ocurrencias de «error» por «warning» en el archivo logfile.txt.
tailf: Similar a tail, pero se mantiene en espera y muestra nuevas líneas a medida que se agregan al archivo. Por ejemplo, tailf logfile.txt mostrará las últimas líneas de logfile.txt y seguirá mostrando nuevas líneas a medida que se agreguen

Analizar la supervisión y el análisis de registros en sistemas Mac

En sistemas Mac, al igual que en otros sistemas Unix, se utilizan registros para registrar la actividad del sistema y de las aplicaciones. Estos registros se almacenan en diferentes ubicaciones en el sistema. Algunos de los archivos de registro más comunes en Mac incluyen:

/var/log/system.log: Este archivo de registro contiene información general del sistema, como mensajes de inicio y cierre de sesión, información del kernel y errores del sistema.
/var/log/authd.log: Este archivo de registro registra los intentos de inicio de sesión en el sistema y cualquier otro evento de autenticación.
/var/log/appfirewall.log: Este archivo de registro registra eventos relacionados con el firewall de la aplicación, incluidos los intentos de conexión bloqueados y permitidos.
/var/log/secure.log: Este archivo de registro registra eventos de autenticación y seguridad, como cambios de contraseña, accesos denegados y eventos de inicio de sesión.

Además de estos archivos de registro del sistema, Mac también tiene registros de aplicaciones específicas que se almacenan en diferentes ubicaciones. Por ejemplo:

/Library/Logs: Este directorio contiene registros de aplicaciones que afectan a todo el sistema.
~/Library/Logs: Este directorio contiene registros de aplicaciones específicos de cada usuario.

Para monitorear y analizar los registros en sistemas Mac, se pueden utilizar herramientas como la Consola de macOS, que proporciona una interfaz gráfica de usuario para ver y buscar registros del sistema y de la aplicación. También se pueden utilizar comandos de la línea de comandos como tail, grep, y awk para buscar, filtrar y analizar registros específicos.

Análisis y supervisión de registros en cortafuegos

Los firewalls son dispositivos de seguridad que se utilizan para proteger las redes y los sistemas informáticos de amenazas externas. Una de las funciones principales de los firewalls es el registro y el análisis de los registros de los eventos de red. Aquí hay algunos detalles sobre la monitorización y el análisis de logs en firewalls:

Windows Defender Firewall: Los logs del Firewall de Windows Defender se almacenan en la ruta C:\Windows\System32\LogFiles\Firewall. Los logs incluyen información sobre las conexiones permitidas y bloqueadas, así como sobre cualquier evento importante relacionado con la seguridad.

Mac Firewall: Para acceder a los registros de firewall en macOS, debemos utilizar la consola del sistema. Los registros del firewall de macOS se encuentran en la ruta /var/log/appfirewall.log. Los registros incluyen información sobre los eventos de seguridad del firewall, como conexiones permitidas y bloqueadas, y también se pueden utilizar para identificar posibles amenazas.

Linux Firewall (iptables): Los registros del firewall iptables de Linux se almacenan en el archivo /var/log/messages. Los registros incluyen información sobre conexiones permitidas y bloqueadas, y también sobre eventos importantes de seguridad.

Cisco ASA Firewall: El firewall Cisco ASA tiene una amplia gama de herramientas de monitorización y análisis de logs. Los logs se pueden configurar para almacenarse en la memoria interna del firewall o en un servidor syslog externo. Los registros incluyen información sobre eventos importantes de seguridad, como conexiones permitidas y bloqueadas, y también pueden incluir información sobre intrusiones o intentos de ataque.

Check Point Firewall: El comando fw log se utiliza para mostrar el contenido del archivo de registro. Los registros incluyen información sobre conexiones permitidas y bloqueadas, así como sobre eventos importantes de seguridad. También se pueden configurar alertas para enviar notificaciones cuando se detecten eventos de seguridad importantes.

Análisis y supervisión de registros en routers

La monitorización y análisis de registros en routers es una práctica crucial para la gestión efectiva de redes informáticas. En esta sección, se explicará cómo monitorear y analizar los registros de los routers, centrándose en los registros de routers Cisco.

Los registros de los routers Cisco no contienen identificadores numéricos que ayuden a identificar los mensajes. En cambio, constan de un máximo de 80 caracteres y un signo de porcentaje (%), seguido de un número de secuencia opcional o información de marca de tiempo si se configura.

Para ver los registros de un router Cisco, se utiliza el comando «show logging». Este comando mostrará todos los registros de eventos que han ocurrido en el router, desde reinicios hasta eventos de seguridad y otros.

Para buscar un evento específico en los registros, se puede usar el comando «include» junto con una cadena de texto específica. Por ejemplo, «show logging | include 185» mostrará solo los registros que contienen el número de lista de acceso 185.

Los registros de seguridad son particularmente importantes para la monitorización y análisis de los registros del router. Los registros de seguridad muestran cualquier intento fallido o exitoso de acceder a los recursos de red protegidos por un firewall o una lista de acceso.

En los registros de seguridad, se pueden encontrar eventos como la denegación de acceso a ciertas direcciones IP o puertos de red. Un ejemplo de registro de seguridad de un router Cisco se puede ver a continuación:

002092: Dec 28 2018 12:20:48.681 EDT: %SEC-6-IPACCESSLOGP: list 185 denied tcp 168.215.25.92(59078) -> 71.15.210.4(417), 1 paquete

Este registro indica que se denegó el acceso a la dirección IP 168.215.25.92 en el puerto 59078 para conectarse a la dirección IP 71.15.210.4 en el puerto 417.

Para analizar los registros del router de manera efectiva, se pueden utilizar herramientas de análisis de registros, como Splunk o Graylog. Estas herramientas permiten la búsqueda y el filtrado de registros, así como la creación de alertas y paneles de control para monitorear la red.

En conclusión, la monitorización y análisis de los registros de los routers es una práctica importante para la gestión efectiva de redes informáticas. Al utilizar comandos específicos y herramientas de análisis de registros, los administradores de redes pueden detectar y resolver problemas de red más rápidamente, lo que ayuda a mantener la estabilidad y seguridad de la red.

Debate sobre la supervisión y el análisis de registros en servidores web

La monitorización y análisis de logs en servidores web es una práctica esencial para garantizar la seguridad, rendimiento y fiabilidad de un sitio web. Al examinar los registros de un servidor web, es posible detectar problemas de seguridad, errores de sistema, errores de aplicaciones web, errores de hardware y otros problemas que pueden afectar la experiencia del usuario y la operación del sitio.

Existen diferentes tipos de servidores web, como Apache, Nginx, IIS, y cada uno tiene su propio sistema de registro de logs. A continuación, se detallan algunas de las características y ubicaciones de los archivos de registro para diferentes servidores web.

Registros de Internet Information Services (IIS)

IIS es un servidor web de Microsoft que se ejecuta en sistemas operativos Windows. Los archivos de registro de IIS se almacenan por defecto en las siguientes ubicaciones:

IIS 6.0: %system32%\LogFiles\W3SVCN
IIS 7.0: %SystemDrive%\Inetpub\Logs\LogFiles\W3SVCN
IIS 8.0: %SystemDrive%\inetpub\logs\LogFiles
IIS 10.0: %SystemDrive%\inetpub\logs\LogFiles

Los archivos de registro de IIS contienen información sobre las solicitudes de los clientes, los errores del servidor, la actividad de los usuarios y más. Los registros se pueden personalizar para incluir información adicional, como la identidad del usuario, la dirección IP y otros datos relevantes.

Registros de Apache

Apache es uno de los servidores web más populares en el mundo Linux y Unix. Los registros de Apache se dividen en dos categorías principales: registro de acceso y registro de error.

El registro de acceso contiene información sobre las solicitudes entrantes, incluyendo la dirección IP del cliente, el recurso solicitado y la hora y fecha de la solicitud. Por otro lado, el registro de errores contiene información sobre los errores que ocurren en el servidor, como los errores de sintaxis de configuración, errores de permisos de archivo y errores de conexión a bases de datos.

En sistemas basados en RHEL/Red Hat/CentOS/Fedora Linux, los archivos de registro de acceso de Apache se encuentran en /var/log/httpd/access_log. En sistemas basados en Debian/Ubuntu Linux, los archivos de registro de acceso se encuentran en /var/log/apache2/access.log.

Registros de Nginx

Nginx es otro servidor web popular que es conocido por su capacidad de manejar una gran cantidad de solicitudes simultáneas. Al igual que Apache, Nginx tiene un registro de acceso y un registro de error.

El registro de acceso de Nginx contiene información sobre las solicitudes entrantes, como la dirección IP del cliente, el recurso solicitado y el código de estado HTTP. El registro de error de Nginx contiene información sobre los errores que ocurren en el servidor, como problemas con la configuración de Nginx y problemas de comunicación con otros servidores.

Los archivos de registro de Nginx se encuentran típicamente en la carpeta /var/log/nginx/.

En resumen, la monitorización y análisis de logs en servidores web es una práctica crítica para garantizar la seguridad, estabilidad y rendimiento de un sitio web. Conociendo las ubicaciones y características de los archivos de registro en diferentes servidores web, se puede obtener una visión más completa de la actividad del servidor web, como las páginas más visitadas, las peticiones que generan errores y el tráfico generado por usuarios malintencionados. Esto puede ayudar a detectar posibles problemas de rendimiento y seguridad en el sitio web.

Para realizar un monitoreo y análisis efectivo de los registros de un servidor web, es importante tener una herramienta adecuada que permita la visualización y análisis de los datos registrados. Algunas herramientas populares para el monitoreo de servidores web incluyen Apache Logs Viewer, Logwatch y AWStats.

En cuanto a la ubicación de los registros en diferentes servidores web, se pueden encontrar en diferentes ubicaciones dependiendo del sistema operativo y la versión del servidor web. Por ejemplo, en Internet Information Services (IIS), los archivos de registro se ubican por defecto en diferentes ubicaciones según la versión del servidor, como se mencionó anteriormente. Por otro lado, en Apache, los registros de acceso suelen ubicarse en /var/log/httpd/access_log en sistemas operativos como RHEL/Red Hat/CentOS/Fedora Linux y en /var/log/apache2/access.log en sistemas operativos como Debian/Ubuntu Linux.

Analizar la supervisión y el análisis centralizados de los registros

El proceso de monitoreo y análisis de logs centralizado consta de varias etapas:

1. Colección de logs: esta etapa implica la recolección de mensajes de log de diferentes fuentes a una ubicación central, como una base de datos.

2. Transmisión de logs: para almacenar los logs en una ubicación central, estos se transmiten mediante diferentes mecanismos de transporte, como syslog UDP, syslog TCP, syslog encriptado, etc.

3. Almacenamiento de logs: todos los archivos de log recolectados de diferentes dispositivos se almacenan en un repositorio central o en bases de datos. Los datos almacenados se pueden recuperar de manera estructurada cuando se necesiten.

4. Normalización de logs: la normalización de logs es el proceso de aceptar logs de fuentes heterogéneas con diferentes formatos y convertirlos en un formato común.

5. Correlación de logs: la correlación de logs es el proceso de comparar una serie de datos de logs normalizados para determinar un conjunto de eventos relacionados en base a ciertas reglas.

6. Análisis de logs: el análisis de logs es el proceso de identificar patrones y anomalías en los datos de logs correlacionados que indiquen algún intento de intrusión o actividad de violación de políticas.

7. Alertas e informes: un sistema de alertas genera alertas y envía informes al usuario si se observa algún evento sospechoso en los logs o en las matrices calculadas.

Centralized Logging:

En el monitoreo centralizado de logs, los logs de diferentes dispositivos y aplicaciones en la red se recopilan en una ubicación central. Esto ayuda al personal a monitorear, analizar y revisar rápidamente los logs en busca de cualquier anomalía.

Infraestructura de Monitoreo Centralizado:

La infraestructura de monitoreo centralizado de logs consta de los siguientes componentes:

Generador de logs: este componente incluye el host que genera los datos de logs.
Análisis y almacenamiento de logs: este componente almacena, procesa y genera alertas.
- Servidor de colección: consiste en uno o más servidores de logs que reciben los datos de logs. Los servidores de logs que pueden recolectar datos de logs también se llaman recolectores o agregadores de logs. Utilizan diferentes protocolos para recolectar logs, como syslog, SNMP, etc.
- Servidor de almacenamiento: este servidor almacena los datos de logs recolectados en el servidor de logs o en un servidor de base de datos separado, como Oracle, MS SQL, etc.
Monitoreo de logs: este componente monitorea los logs en tiempo real en busca de eventos sospechosos.

Al implementar un proceso de monitoreo de logs centralizado, las organizaciones pueden mejorar la seguridad de la red y reducir el tiempo necesario para detectar y responder a los eventos de seguridad.

Existen varias herramientas que permiten implementar la gestión centralizada de logs. Entre las más populares se encuentran:

Splunk: Es una plataforma de análisis de datos que permite recopilar, indexar y analizar logs en tiempo real. Con Splunk, es posible buscar y correlacionar información de diferentes fuentes y generar informes personalizados para facilitar la identificación de patrones y anomalías. Algunos ejemplos de uso de Splunk incluyen la detección de amenazas de seguridad, la monitorización de la infraestructura de TI y la optimización del rendimiento de aplicaciones.
- Un ejemplo de cómo se puede utilizar Splunk en la gestión de logs centralizada es en un entorno de red empresarial. Un administrador de red puede utilizar Splunk para recopilar y analizar logs de múltiples dispositivos, como routers, switches, firewalls y servidores. Splunk puede correlacionar los logs de estos dispositivos para proporcionar una visión más completa de la actividad de la red, identificar problemas y alertar al equipo de IT sobre problemas potenciales.
Logmatic: Es una herramienta de análisis de logs que permite correlacionar información de diferentes fuentes y generar alertas en tiempo real en caso de detección de eventos sospechosos. Logmatic se integra con diferentes servicios de almacenamiento y procesamiento de datos, como Amazon S3, Kafka y Elasticsearch, lo que facilita su implementación en entornos de TI complejos.
Logstash: Es una herramienta de procesamiento de logs que permite recopilar, transformar y enviar datos a diferentes destinos. Logstash se integra con diferentes fuentes de datos, como archivos de logs, bases de datos, eventos de sistemas y mensajes de red, lo que facilita su adaptación a diferentes entornos.
Sumo Logic: Es una plataforma de análisis de logs en la nube que permite recopilar y analizar datos de diferentes fuentes en tiempo real. Sumo Logic ofrece diferentes funcionalidades, como la detección de amenazas de seguridad, la monitorización de la infraestructura de TI y la gestión de logs de aplicaciones.
Papertrail: Es una herramienta de gestión de logs en tiempo real que permite recopilar, buscar y analizar logs de diferentes fuentes. Papertrail se integra con diferentes servicios de almacenamiento y procesamiento de datos, como AWS, Heroku y Google Cloud Platform, lo que facilita su implementación en entornos en la nube.
LogRhythm: Es una plataforma de seguridad de la información que permite recopilar y analizar logs de diferentes fuentes para detectar amenazas de seguridad en tiempo real. LogRhythm ofrece diferentes funcionalidades, como la detección de comportamientos anómalos, la correlación de eventos y la gestión de incidentes de seguridad.
Retrace: Es una plataforma de monitorización de aplicaciones que permite recopilar y analizar logs de diferentes fuentes para detectar problemas de rendimiento en tiempo real. Retrace se integra con diferentes lenguajes de programación y frameworks, como .NET, Java, PHP y Ruby on Rails, lo que facilita su adaptación a diferentes entornos de desarrollo.
Logentries: Es una herramienta de gestión de logs en tiempo real que permite recopilar, buscar y analizar logs de diferentes fuentes. Logentries se integra con diferentes servicios de almacenamiento y procesamiento de datos, como Amazon S3, Elasticsearch y Logstash, lo que facilita su implementación en entornos de TI complejos.
Graylog: Es una plataforma de gestión de logs que permite recopilar, buscar y analizar logs de diferentes fuentes en tiempo real. Graylog se integra con diferentes servicios de almacenamiento y procesamiento de datos, como Elasticsearch, MongoDB y Kafka, lo que facilita su adaptación a diferentes entornos.