Monitoreo, registros (logs) y detección de amenazas

Proteger no basta: tarde o temprano algo pasará, y la diferencia entre un susto y un desastre suele ser cuánto tardas en enterarte. Los registros, o logs, son el diario de lo que ocurre en tus sistemas: quién inició sesión, desde dónde, qué cambió y qué falló. Monitorearlos es convertir ese diario en alertas útiles. En esta lección aprenderás qué registrar, cómo leer un registro y cómo pasar de miles de eventos a unas pocas alertas que de verdad merecen atención.

1. Qué registrar
2. Leer un registro
3. Centralizar y conservar
4. Detectar y clasificar
5. Medir y mejorar

Qué registrar: las fuentes que más importan

No hace falta registrarlo todo, pero sí las fuentes que responden a las preguntas clave de una investigación: ¿quién entró?, ¿desde dónde?, ¿qué hizo? y ¿qué salió de la red?

Cómo leer un registro

Casi todos los registros tienen los mismos elementos: fecha y hora, quién (usuario o equipo), desde dónde (dirección IP o ubicación), qué evento ocurrió y su resultado. Este es un extracto inventado del registro de inicios de sesión de un servicio de correo:

fecha_hora           usuario   evento  resultado  ip_origen       ubicación
2026-11-09 02:14:05  mrojas    login   FALLIDO    203.0.113.45    desconocida
2026-11-09 02:14:19  mrojas    login   FALLIDO    203.0.113.45    desconocida
2026-11-09 02:14:31  mrojas    login   FALLIDO    203.0.113.45    desconocida
... (9 intentos fallidos más en 3 minutos desde la misma IP)
2026-11-09 02:17:40  mrojas    login   EXITOSO    203.0.113.45    desconocida
2026-11-09 02:19:02  mrojas    nueva_regla_reenvío  "todo el correo → cuenta externa"
2026-11-09 08:31:10  mrojas    login   EXITOSO    192.0.2.10      oficina

La historia se lee sola: muchos intentos fallidos de madrugada desde una IP desconocida, un acceso exitoso y, dos minutos después, una regla que reenvía todo el correo afuera. A las 8:31 la usuaria real entra desde la oficina sin saber nada. Es el patrón típico de una cuenta comprometida que se prepara para un fraude del falso proveedor.

En Windows, estos identificadores de evento son los más vigilados en seguridad:

Centralizar, sincronizar y conservar

• Sincroniza la hora de todos los equipos con un servidor de hora (NTP). Si cada equipo tiene una hora distinta, es imposible reconstruir la secuencia de un incidente.
• Centraliza: envía los registros a un sistema central. Si un atacante controla un equipo, puede borrar sus registros locales, pero no los que ya salieron.
• Protege los registros: acceso de solo lectura para casi todos y almacenamiento que impida modificarlos.
• Define la retención según tus necesidades, tus contratos y las normas que te apliquen, y calcula el espacio. Si generas 2 GB de registros al día: 90 días ocupan 2 × 90 = 180 GB y un año, 2 × 365 = 730 GB.
• Recuerda la privacidad: los registros contienen datos personales (usuarios, IP, ubicaciones). Limita quién los ve y para qué, como viste en la lección 8.

Las herramientas: SIEM, EDR y SOC

Para describir qué hace un atacante y comprobar qué comportamientos detectas, los equipos de seguridad usan MITRE ATT&CK, una base de conocimiento pública que organiza las tácticas (el "para qué": acceso inicial, persistencia, robo de datos…) y las técnicas observadas en ataques reales. Sirve como mapa para encontrar huecos en tu detección.

De eventos a alertas: reglas y triaje

Una regla de detección describe un patrón sospechoso. No necesitas programar para entender su lógica:

SI hay 10 o más inicios de sesión fallidos para el mismo usuario en 5 minutos
   Y después un inicio de sesión exitoso desde la misma IP
ENTONCES alerta de severidad alta: "posible contraseña adivinada"

SI se crea una regla que reenvía correo a un dominio externo
ENTONCES alerta de severidad alta: "posible cuenta de correo comprometida"

SI un usuario se agrega al grupo de Administradores fuera de un cambio aprobado
ENTONCES alerta de severidad media

Incluso sin un SIEM puedes hacer una primera revisión exportando el registro a Excel. Con los identificadores de evento en la columna C y los usuarios en la columna D, esta fórmula cuenta los fallos de un usuario:

=CONTAR.SI.CONJUNTO(C:C;4625;D:D;"jperez")

Cada alerta pasa por un proceso de triaje, es decir, de clasificación rápida:

1. Paso 1Recibir y priorizarPrimero las alertas de severidad alta y las que afectan cuentas privilegiadas o datos sensibles.
2. Paso 2Validar¿Es real? Consulta al usuario por un canal confiable, revisa si coincide con un cambio programado o un viaje.
3. Paso 3Dar contexto¿Qué más hizo esa cuenta o ese equipo antes y después? ¿Hay otros afectados?
4. Paso 4DecidirFalso positivo (se cierra y se ajusta la regla) o incidente (se activa el plan de respuesta de la próxima lección).
5. Paso 5DocumentarQué se vio, qué se decidió y por qué. Alimenta las métricas y las mejoras.

Medir la detección

Precisión = verdaderos positivos ÷ (verdaderos positivos + falsos positivos)
MTTD (tiempo medio de detección) = promedio del tiempo entre el inicio de cada incidente y su detección
MTTR (tiempo medio de respuesta) = promedio del tiempo entre la detección y la contención

Demasiadas alertas falsas producen fatiga de alertas: el equipo deja de mirarlas con atención y se le escapa la real. Por eso ajustar las reglas es tan importante como crearlas.

Las cuentas: antes, 20 ÷ 400 = 5% de precisión y 400 × 10 min = 4.000 min ≈ 66,7 horas; después, 18 ÷ 120 = 15% y 120 × 10 min = 1.200 min = 20 horas. El MTTD anterior salió de cuatro incidentes detectados a las 50, 30, 6 y 2 horas: (50 + 30 + 6 + 2) ÷ 4 = 22 horas.

Errores comunes

Resumen

• Registra al menos identidad y correo, equipos, firewall, DNS, antimalware y aplicaciones en la nube.
• Todo registro responde a quién, cuándo, desde dónde, qué y con qué resultado; eventos como 4625, 4720, 4732 y 1102 merecen vigilancia.
• Sincroniza la hora, centraliza y protege los registros, y define su retención considerando la privacidad.
• SIEM, EDR y SOC convierten eventos en alertas y respuestas; MITRE ATT&CK ayuda a encontrar huecos de detección.
• Mide con precisión, MTTD y MTTR, y ajusta las reglas para evitar la fatiga de alertas.

En la próxima lección: Respuesta a incidentes paso a paso. Aprenderás a preparar un plan, contener un incidente, preservar la evidencia, comunicar y aprender de lo ocurrido.