Registros de eventos y de administración

Los eventos de inicio de sesión responden a la pregunta de qué hicieron las personas: entraron, fallaron, cerraron sesión, cambiaron la contraseña. Los eventos de administración responden a la pregunta de qué cambió alguien en la configuración: creó un cliente, asignó un rol, modificó una política. Ambos se guardan solo si se activa, y se conservan solo el tiempo que se configure.

Para investigar hace falta casi siempre cruzar los dos: el primero muestra la entrada; el segundo, lo que hizo después quien tenía poder para cambiar cosas.

Un intento de adivinar contraseñas deja un patrón en el registro: una misma dirección falla contra muchas cuentas distintas, a veces con una sola prueba por cuenta para no activar el bloqueo. No es una cuenta que falla muchas veces, sino una dirección que prueba a muchas.

Abre glosario.txt y eventos-de-sesion.txt y busca la dirección con fallos contra más cuentas distintas.

Medir el alcance es parte de documentar el hallazgo: cuántas cuentas distintas se tocaron, cuáles existen y cuál terminó con un inicio de sesión correcto después. Una cuenta que no existe en el directorio también cuenta como probada: dice que quien probó tenía una lista de nombres que no era del todo suya.

En eventos-de-sesion.txt cuenta las cuentas distintas contra las que falló esa dirección, incluida la que no existe.

La organización fija un horario de administración. Lo que un administrador cambia fuera de él no es culpable por sí mismo, pero se explica: quién era, con qué cuenta, desde dónde y con qué ticket. En el registro de administración se mira primero fecha, día y hora de cada evento.

Abre horario-de-administracion.txt y eventos-de-administracion.txt y busca el id del evento fuera del horario.

Ningún registro sirve si se pierde antes de necesitarlo. Si los eventos solo se conservan unos días en el propio servidor y no se envían a otro sistema, una investigación que empiece tarde se encuentra con que lo anterior ya no existe. La corrección no está en el servidor investigado, sino en enviar los eventos fuera, a un almacenamiento que el administrador del servidor no pueda borrar.

Lee configuracion-de-registros.txt antes de contestar.