Registros remotos y sincronía horaria

Un equipo guarda sus registros en una memoria pequeña que se pierde al reiniciar, y quien logra entrar con privilegios puede borrarla. Mandarlos a un servidor central (syslog) conserva la evidencia aunque el equipo caiga o lo manipulen, y permite correlacionar los eventos de varios equipos en un solo lugar. Cada mensaje lleva una severidad de 0 a 7 (RFC 5424: de emergencia, la más grave, a depuración, la más detallada).

Un equipo que no manda registros a ningún servidor es un punto ciego: si pasa algo allí, solo queda su memoria local.

Cuenta en envio_remoto los equipos cuyo servidor_de_registros es ninguno.

El equipo envía los eventos con la severidad configurada y los más graves (los números menores). Si el umbral se fija en un nivel muy grave, los eventos de uso normal, como los inicios de sesión, no llegan al servidor. La tabla severidad_de_eventos dice con qué severidad se clasifica cada evento en estos equipos (la clasificación exacta varía por fabricante).

Cruza envio_remoto con severidad_de_eventos.

Para reconstruir un incidente se ordenan los eventos de varios equipos por hora. Si un reloj va adelantado o atrasado, el orden se confunde y la línea de tiempo miente. Los equipos deben tomar la hora de una fuente de tiempo de la empresa y llevar la zona horaria o el formato universal en sus registros (la RFC 5424 pide fechas con formato RFC 3339).

Lee relojes y busca el desfase mayor.

Con el desfase conocido se corrige la hora anotada. La tabla evento_del_cambio trae un cambio guardado en un equipo con la hora que marcaba su reloj; la columna reloj_adelantado_s de relojes dice cuántos segundos iba adelantado ese reloj. La hora real es la anotada menos el adelanto.