Auditoria y Log

Lo primero que debemos hacer es distinguir entre los conceptos de auditoría y de logging:

  • Logging: Permite llevar una contabilidad de todo lo que ocurre en el servidor Web
  • Auditoria: Permite detectar cualquier actividad inusual relacionada con cada acceso hecho al servidor y la naturaleza de la misma. Para ello se debe hacer un análisis de los datos recabados (por un proceso de logging previo).

Ninguna de estas técnicas frena ataques, pero son claves para determinar qué ha pasado si hay uno (informática forense). No sólo es necesario habilitarlas en el servidor, sino también en cada componente hardware de la red que los soporten. No obstante, debemos considerar la sobrecarga adicional que esto impone, que puede afectar gravemente al rendimiento del sistema en general. Por ello, en muchas ocasiones se debe seleccionar cuidadosamente los protocolos que se logean para quedarnos sólo con aquellos que realmente van a ser útiles en nuestro sistema.

Por otro lado, los archivos de log se deben proteger para que ningún atacante borre sus huellas modificando su contenido, o bien para que nadie los elimine simplemente:

  • Esto puede lograrse mediante permisos NTFS, una localización adecuada y backups
  • Estos archivos son clave en una investigación policial, por lo que no debemos perderlos.
  • Si permitimos que alguien no autorizado modifique los logs, toda la información contenida puede ser falsa, invalidando completamente su existencia

En un servidor web típico hay varias fuentes de información de log que debemos examinar para encontrar la información que podamos necesitar en un momento dado. Hablaren detalle de lo que podemos encontrar en cada una de estas fuentes de información excede el objetivo de este documento, pero se proporcionan enlaces para profundizar en su contenido en caso necesario:

Última modificación: sábado, 31 de julio de 2010, 13:22