Líneas base de auditoría

Sin línea base, cada equipo queda como lo dejó quien lo instaló: uno audita los fallos de inicio de sesión, otro no, y nadie lo sabe hasta que hace falta. La línea base convierte «¿qué debería registrar este equipo?» en una tabla comparable con lo que de verdad está configurado.

Se escribe por tipo de equipo (controlador de dominio, servidor de archivos, puesto de caja), con el valor esperado de cada subcategoría de auditoría. Los benchmarks del CIS y la documentación del fabricante dan el punto de partida; la organización los adapta a lo que necesita investigar.

Abre base_de_auditoria y auditpol. La primera es lo esperado por subcategoría; la segunda, el valor que cada equipo tiene hoy (Success and Failure, Success o No Auditing). Una desviación es una subcategoría cuyo valor actual no cubre lo esperado.

La desviación más sutil es la que deja la configuración casi bien. Un equipo que registra los inicios de sesión correctos pero no los fallidos oculta justo lo que una detección de fuerza bruta necesita.

tamano_de_registro dice el tamaño máximo del registro de seguridad de cada equipo, cuántos kilobytes escribe por hora de operación y qué hace al llenarse. Si al llenarse sobrescribe lo más antiguo, el tamaño y el ritmo de escritura dicen cuántas horas de historia quedan en el equipo.

Un equipo con pocas horas de historia que no envía su registro a otro lado pierde la evidencia antes de que empiece el turno siguiente. Ampliar el tamaño ayuda, pero solo aplaza el problema. La combinación que sostiene es doble: configurar la política según la línea base y enviar los eventos fuera del equipo en tiempo casi real, de modo que el origen se pueda sobrescribir sin perder historia.