Logs para el SOC: preservar evidencias de incidentes

Una alerta sin contexto deja preguntas abiertas

Durante un incidente, el equipo necesita reconstruir qué ocurrió, en qué orden y sobre qué cuentas o activos. Un registro aislado puede perder significado si no se conoce la zona horaria, el origen o la retención disponible. Preparar la recogida de información antes del incidente evita depender de exportaciones improvisadas.

La guía forense NIST SP 800-86 describe fuentes como archivos, sistemas operativos, tráfico de red y aplicaciones, y advierte que no es una receta exhaustiva ni asesoramiento legal. CISA también recomienda centralizar registros relevantes, protegerlos frente a alteraciones y conservarlos durante un periodo adecuado al riesgo y a las políticas aplicables; no existe aquí un plazo universal para todas las empresas.

Ficha de recogida para cada incidente

Al abrir el caso, deja constancia de:

Campo	Qué registrar
Identificador y cronología	ID del caso, marcas de tiempo originales y zona horaria normalizada para correlación.
Fuente	Producto, sistema, tenant, dispositivo o cuenta de donde procede el dato.
Consulta o exportación	Filtros usados, rango temporal, operador y hora de adquisición.
Integridad	Copia original cuando sea posible, método de exportación y hash calculado sobre el artefacto recibido.
Custodia operativa	Quién accedió, dónde se guardó, quién la transfirió y qué transformaciones se realizaron.
Conservación	Clasificación, plazo aprobado, restricciones de privacidad y fecha de revisión o eliminación.

Separa la evidencia original de las anotaciones y análisis. Si el SIEM normaliza o enriquece eventos, guarda la referencia al origen y registra qué transformación se aplicó. No borres ni sobreescribas la fuente para que el panel resulte más limpio.

Mini flujo de investigación

1. Delimita el intervalo temporal y los sistemas relacionados con la alerta.
2. Preserva primero las fuentes volátiles o de retención corta conforme al procedimiento aprobado.
3. Recoge eventos de identidad, endpoint, red y aplicación que permitan confirmar o descartar la hipótesis.
4. Alinea marcas de tiempo y anota desajustes de reloj en vez de corregir silenciosamente los originales.
5. Registra hallazgos, incertidumbres, decisiones de contención y siguientes responsables.

En una cuenta comprometida, por ejemplo, una cronología puede correlacionar inicios de sesión, cambios de autenticación, actividad de correo y acciones sobre archivos. Enlaza el resultado con el ciclo de vida de reglas SIEM y el playbook SOC para cuentas Microsoft 365 comprometidas.

Fuentes: NIST SP 800-86 y guía de CISA sobre respuesta a ransomware y registros. Antes de compartir datos con terceros, valida el tratamiento de información personal y las condiciones internas de conservación.