Qué registrar y por qué

Registrar todo con el máximo detalle parece prudente y casi nunca lo es: llena el almacenamiento, esconde lo importante y se apaga a los pocos meses por costo. Registrar solo lo que viene activado de fábrica deja huecos que nadie eligió. El criterio que sirve es otro: escribir primero las preguntas que habrá que contestar después de un incidente o de una auditoría y, para cada una, decidir qué fuente y qué campos las responden.

Una pregunta bien escrita nombra a una persona, una cosa y un momento: quién, qué recurso, cuándo. Si la fuente no guarda alguno de los tres, la pregunta queda sin respuesta aunque el registro exista.

Abre preguntas y fuentes. Cada fila de fuentes dice qué pregunta responde (responde_pregunta), si el producto genera registro (genera_registro) y si ese registro llega al SIEM (llega_al_siem). Una pregunta cuya fuente no genera nada no se puede responder ni con el mejor SIEM.

Un registro que se queda en el equipo de origen sirve poco: se rota, se sobrescribe o desaparece con el equipo. Las fuentes que generan y no envían son el hueco más barato de cerrar, porque el dato ya existe. Cuéntalas.

Una de las preguntas quedó sin fuente. Hay quien prefiere que el informe no muestre huecos, y hay quien da por cubierta una pregunta porque otra fuente se le parece. Ninguna de las dos cosas la responde. Un hueco declarado se puede planear: tiene dueño, costo y fecha. Un hueco escondido aparece el día del incidente.