¿Qué es el logging y la gestión de logs?

Logging: definición y significado

Todo software, todo servidor y todo componente de red puede escribir eventos en archivos de registro, los llamados logs: quién ha accedido a qué página y cuándo, qué error se ha producido, quién ha iniciado sesión o ha cambiado un ajuste. Los logs son la memoria de un sistema y, a menudo, la única fuente para entender a posteriori lo que ha ocurrido.

Las entradas suelen tener una marca de tiempo, una gravedad (nivel de log como información, advertencia o error) y una descripción. Los sistemas más avanzados escriben logs estructurados, por ejemplo en JSON, para que las entradas puedan filtrarse, buscarse y analizarse de forma automática en lugar de leerlas penosamente a mano.

Gestión de logs: del archivo al análisis centralizado

Con varios servidores o servicios, resulta poco práctico leer los logs uno por uno en cada equipo. La gestión de logs los recopila por eso de forma centralizada, los almacena durante un periodo definido y ofrece búsqueda, filtros, análisis y alertas. Están extendidas soluciones como Elastic Stack, Graylog o Grafana Loki, así como servicios de los proveedores de la nube.

Los logs recopilados de forma centralizada tienen otra ventaja: sobreviven al fallo de un servidor y se pueden proteger mejor frente a una modificación posterior por parte de un atacante. La protección de acceso, los plazos de conservación y un plan de eliminación forman parte, por tanto, del concepto, pues los logs suelen contener datos personales como direcciones IP o nombres de usuario.

Ejemplo práctico: el portal de clientes de una admi­nis­tra­ción de fincas

Los inquilinos de una administración de fincas comunican que el portal de clientes a veces no se abre y que el inicio de sesión en ocasiones no lleva a ninguna parte. El fallo aparece de forma irregular y no es reproducible. Sin registros, la búsqueda del fallo sería adivinar, y la administración solo podría dar respuestas vagas a los inquilinos. Por eso analiza los logs recopilados de forma centralizada.

Los logs centrales muestran que cada mañana a la misma hora un script de mantenimiento bloquea brevemente la base de datos; los inicios de sesión chocan entonces con un tiempo de espera agotado. El operador cambia la hora de la tarea. En los mismos registros destacan además numerosos intentos fallidos de inicio de sesión desde unas pocas direcciones, que se detienen con un bloqueo.

Ventajas, límites y protección de datos

Los logs aceleran la búsqueda de fallos, documentan procesos y son el rastro más importante en los incidentes de seguridad. Un exceso de registro, sin embargo, carga el almacenamiento y el rendimiento, y muy poco deja lagunas. La protección de datos exige especial cuidado: las contraseñas y los contenidos sensibles no pertenecen a los logs, y para las direcciones IP y los datos de usuario deberían regir plazos de conservación breves y justificados.

Nano Concepts configura el logging para que siga siendo útil para la operación y la seguridad: registros estructurados, análisis centralizado, plazos de conservación razonables y alertas ante patrones llamativos, de acuerdo con sus requisitos de protección de datos y con las indicaciones de su delegado de protección de datos, para que los registros ayuden en una emergencia y no se conviertan en un riesgo.

• Marca de tiempo, nivel de log e identificador único de solicitud en cada entrada
• No registrar nunca contraseñas, tokens ni contenidos sensibles
• Recopilar los logs de forma centralizada y protegerlos frente a modificaciones posteriores
• Definir el plazo de conservación y eliminar de forma automática
• Vincular patrones llamativos, como muchos inicios de sesión fallidos, con alertas