Escenario: la regla de auditoría que nadie había activado

Durante una auditoría en un servidor de despliegues Linux, el equipo de ciberseguridad detecta accesos nocturnos a /etc/shadow. Sin embargo, al revisar las alertas del SIEM, no apareció ninguna notificación. Al inspeccionar la configuración de auditd local descubrieron que se monitoreaban accesos a /etc/passwd, pero no se había activado una regla con tag para /etc/shadow hasta el día anterior, perdiendo semanas de historial previo de lectura.

En la tabla audit_events del panel, revisa el campo success para la entrada del archivo /etc/shadow.

Lección tras el caso {#leccion}

En sistemas Linux, la telemetría del kernel (auditd y eBPF) constituye la verdad fundamental del host. Cuando las reglas de auditoría no están explícitamente configuradas para supervisar archivos de autenticación sensibles o llamadas al sistema críticas, los registros del SIEM estarán vacíos a pesar de que el adversario esté operando activamente. Un cazador de amenazas riguroso nunca asume que la ausencia de alertas equivale a seguridad: audita de forma continua la cobertura real de las reglas en el endpoint.