Integridad del registro — cuando borran el rastro

Cuando el registro se envía al SIEM, la copia viaja fuera de la máquina en el momento en que se genera. Por eso el atacante que borra el registro local llega tarde: el evento ya se fue. Esta es la razón de fondo para centralizar y para proteger la copia remota —que nadie con acceso a una máquina pueda reescribir la historia de lo que pasó en ella—. La integridad del registro se defiende sacándolo de las manos de quien podría alterarlo.

Lo local se puede manipular; lo que ya llegó al SIEM, mucho menos. El analista confía en la copia centralizada precisamente porque está fuera del alcance del que estaba en la máquina.

Antes de actuar, algunos atacantes apagan la auditoría para que lo que viene no quede escrito en la máquina. En los registros queda, eso sí, el evento de que la auditoría se deshabilitó: un cambio de configuración que casi nadie legítimo hace a las 03:00. Que una cuenta desactive el registro de inicios de sesión justo antes de una ráfaga de actividad no es casualidad, es preparación. El apagón de la auditoría es una bandera tan clara como lo que pretendía ocultar.

El analista no necesita ver lo que se ocultó para sospechar: le basta ver que alguien intentó dejar de ver. Un cambio en la propia vigilancia, a deshora y desde una cuenta que no lo hace nunca, es señal por sí solo.

Borrar el registro de seguridad deja, paradójicamente, un último evento: el del propio borrado, con su hora y la cuenta que lo hizo. Es de los indicadores más limpios de intención, porque ningún uso normal del sistema vacía el registro de auditoría de seguridad. Cuando ese evento aparece, el analista sabe dos cosas: que hubo algo que esconder y hasta qué momento llega la limpieza. La hora del borrado acota la ventana donde faltan datos.

Leer ese evento no es un tecnicismo: marca el borde de lo que la máquina ya no cuenta y obliga a tirar de la copia del SIEM para rellenar el hueco. El borrado no destruye la pista; la señala.

En la consola, la cuenta que entró de madrugada tocó la propia auditoría: primero la deshabilitó, luego borró el registro de seguridad. Localiza el momento exacto en que vació ese registro, que es el borde de la limpieza.