Registros del sistema y del ejecutor

En los sistemas de la familia Debian, los inicios de sesión (sshd), el uso de sudo y los cambios de cuentas quedan en /var/log/auth.log; en los de la familia Red Hat, ese papel lo cumple /var/log/secure. El registro general (/var/log/syslog o /var/log/messages) recoge el resto de servicios, incluido cron. Los servicios con systemd también escriben en el diario, que se consulta con journalctl -u nombre-del-servicio. El ejecutor suele tener, además, su propio registro de trabajos.

Una línea de syslog trae la fecha sin año, el equipo, el programa con su PID y el mensaje. Al cruzar registros, la hora es la clave.

Los fallos de contraseña repetidos llaman la atención, pero no siempre son los que importan. Lee auth.log y separa dos cosas: de qué dirección hubo muchos fallos, y de qué dirección hubo una sesión aceptada con contraseña para la cuenta de servicio svc-entrega (una cuenta que nadie debería abrir a mano).

El número de fallos antes del acierto dice mucho: una persona que olvidó su clave falla una o dos veces; una secuencia más larga contra una cuenta de servicio apunta a prueba de contraseñas. Cuenta cuántos fallos de esa misma dirección precedieron a la sesión aceptada.

Tras el sudo hay un crontab editado por root y, en syslog, una tarea de cron que no estaba. El ejecutor registra de dónde viene cada trabajo: la plataforma (programado en el pipeline) u otro origen. Cruza las horas de syslog con las de ejecutor.log.

Los registros de un equipo comprometido son tan fiables como lo sea el equipo. Una cuenta con permisos suficientes puede borrar o cambiar lo que escribió; por eso los registros de seguridad se envían además a un colector fuera del equipo, y su carpeta no es escribible por las cuentas de servicio.