Leer los logs de acceso: qué es un ataque y qué es normal

Cinco señales que se separan del ruido

1. Un 200 donde esperabas un 404. Que una sonda encuentre algo es la diferencia entre ruido y hallazgo. Los códigos de respuesta importan más que la cantidad de intentos.
2. Autenticación exitosa desde un origen inesperado. Lo que cuenta no es el intento fallido sino el que entró.
3. Cambios en el patrón: mismas rutas, mismo origen, sostenido en el tiempo, en vez del barrido disperso de siempre.
4. Tráfico de salida inusual. Un servidor comprometido suele delatarse por lo que manda, no por lo que recibe: conexiones a destinos raros, consumo de CPU sin causa.
5. Procesos o tareas programadas que nadie creó. Es el rastro clásico después de una intrusión.

Lo que se aplicó

1. Sin autenticación por contraseña en el acceso remoto, sólo con clave. Los miles de intentos siguen llegando y ninguno puede prosperar.
2. Bloqueo automático por repetición, que corta a quien insiste y baja el volumen de registro.
3. Un único punto de entrada. Menos superficie, menos variedad de ruido, y todo el tráfico pasando por un lugar que registra igual.
4. Rotación de registros con retención acotada. Un servidor chico se queda sin disco por los registros antes que por los datos, y ese es su propio incidente.

El esquema mínimo

1. Alertas por lo excepcional, pocas y a un canal que se lea de verdad.
2. Un resumen periódico: accesos exitosos, errores del servidor, uso de disco. No para revisarlo línea por línea sino para notar cambios.
3. Registro centralizado o al menos accesible, porque el día que haga falta investigar no es el día para averiguar dónde estaban los archivos.
4. Retención suficiente para investigar. Si los registros duran tres días y el problema empezó hace una semana, no hay nada que analizar.