Registro y supervisión insuficientes

El registro y la supervisión suelen dejarse para el final, cuando algo ya ha salido mal, pero, en realidad, no garantizar un registro y una supervisión adecuados puede resultar muy costoso.

En un extremo, cuando ocurre un incidente (ya sea relacionado con la seguridad o no), tener pocos o ningún registro hace imposible determinar qué ha sucedido realmente. En el otro extremo, registrar demasiados datos puede generar problemas de privacidad que, a su vez, pueden derivar en problemas con los organismos reguladores.

A continuación, repasaremos algunas mejores prácticas que pueden servirle de guía para mejorar el registro y la supervisión.

Mejores prácticas

Echemos un vistazo a algunas mejores prácticas para un buen registro y supervisión.

Registro de auditoría para funciones confidenciales

Es importante crear registros de auditoría para eventos confidenciales, como los intentos de inicio de sesión (independientemente de si fueron exitosos o no), los cambios en las cuentas de usuario, el acceso o la modificación de datos confidenciales y otros casos similares. Esto se aplica tanto al acceso por parte de usuarios generales como de usuarios internos o administrativos.

Registrar estos eventos resulta extremadamente relevante en casos en los que se sospecha que ha habido un acceso no autorizado, ya sea por parte de alguien interno o externo.

Cuando ocurre un evento de este tipo, es fundamental poder dar cuenta de qué datos fueron accedidos y por quién, con el fin de comprender la escala y el alcance del incidente.

Registro de errores

Contar con registros de errores y advertencias no es solo una buena práctica de ingeniería para supervisar el estado de la aplicación; también pueden actuar como una señal de alerta.

Cuando un atacante está en proceso de descubrir una vulnerabilidad, a menudo genera un gran volumen de errores y advertencias que pueden indicarle que alguien podría haber encontrado una vulnerabilidad en su aplicación.

Almacenamiento de registros en una ubicación centralizada

Los registros deben transmitirse y almacenarse siempre en un lugar centralizado en tiempo real. Esto sirve tanto para garantizar que los registros estén disponibles de inmediato para su análisis mediante un SIEM, como para evitar que un atacante que haya comprometido un servidor pueda modificar o eliminar los registros.

Conservar los registros durante un tiempo definido

La triste realidad es que la mayoría de las brechas tardan días en detectarse y, de hecho, el 20 % de las brechas tardan meses en ser descubiertas. Cuando el tiempo transcurrido desde la brecha hasta su detección es tan largo, los registros suelen ser la única fuente de datos disponible para determinar qué pudo haber ocurrido.

Por lo tanto, almacenar los registros durante un período de tiempo bien definido es sumamente importante. Normativas como PCI exigen que los registros sean accesibles con poca o ninguna demora durante los últimos 3 meses, mientras que los registros de hasta 12 meses deben poder restaurarse bajo petición.

Este enfoque logra un buen equilibrio entre la capacidad de iniciar fácilmente la investigación de un posible incidente y la gestión de costes mediante el almacenamiento en frío de los registros.

Audite periódicamente los registros en busca de información de identificación personal (PII)

Los registros son excelentes para investigar posibles incidentes, pero la realidad es que los registros en sí mismos también pueden provocar uno.

Existe un delicado equilibrio entre incluir la información necesaria para investigar incidentes y registrar demasiados datos. Es muy fácil incluir accidentalmente PII en los registros, lo que puede causar problemas con las normativas de privacidad.

Es importante auditar periódicamente los registros en busca de PII y asegurarse de eliminarla.

‍