El registro del sistema, eventos que importan

Un registro de inicio de sesión dice quién entró; un registro de cambios de administración dice quién modificó lo que protege a todos. Por eso, en gobierno de identidad, los eventos de cambio valen más que su volumen: una política modificada a las tres de la mañana pesa más que mil inicios de sesión normales. Las empresas maduras escriben una lista corta de eventos que quieren ver siempre y alertan sobre ella.

Esa lista no se inventa: sale de preguntarse qué cambios, de hacerse mal o en mal momento, desarmarían un control.

Un cambio de política en el registro trae el actor, la hora y el objetivo. Cruzar eso con la lista de eventos prioritarios y con el horario de administración de la empresa es la manera de decidir qué merece una explicación. El actor no es necesariamente un atacante: puede ser un administrador legítimo haciendo algo que nadie le pidió.

Abre registro-del-sistema.txt y busca el evento politica_modificada que cambió la excepción de la política de administración que viste en la sala de políticas por contexto.

Un registro sirve mientras exista. retencion.txt dice cuánto conserva la consola, si los eventos se envían a un sistema de análisis y si se archivan aparte. Un incidente que se descubre pasada la retención se investiga a ciegas. Además, el registro que vive solo en la consola de quien lo puede modificar es débil como evidencia: lo ideal es una copia en otro sitio, fuera del alcance de los administradores del proveedor.

Reiniciar el segundo factor de una persona es legítimo cuando se pierde un teléfono y es, a la vez, uno de los pasos que más se abusan para quedarse con una cuenta: quien consigue que se reinicie el factor puede inscribir el suyo. Por eso un volumen inusual de reinicios de un mismo administrador es una señal que se mide, no una opinión.

En registro-del-sistema.txt cuenta los eventos factor_reiniciado de la cuenta que más los ejecutó en la semana.

Un token de API es una credencial pensada para automatizar, que normalmente no pasa por un segundo factor interactivo; crear uno es abrir una entrada nueva. eventos-prioritarios.txt fija el horario de administración. Cruza la fecha, el día de la semana y la hora de cada creación de token con ese horario.