CIS Control 8: Gestión de registros, sin logs estás ciego (y mudo en la investigación)

El octavo Control CIS trata algo que solo se valora cuando ya es tarde: los registros de auditoría (logs). Son la memoria de tu infraestructura, el rastro de quién hizo qué y cuándo. Cuando ocurre un incidente, los registros son a menudo la única forma de reconstruir qué pasó, por dónde entraron y qué tocaron. Sin ellos, estás ciego: sabes que algo salió mal, pero no puedes contar la historia. El problema es que los registros hay que tenerlos antes del incidente; no se pueden generar hacia atrás.

Por qué importan tanto

Los registros sirven para dos momentos. Para detectar: correlacionados, revelan ataques en curso (es la materia prima de un SIEM). Y para investigar: tras un incidente, permiten entender el alcance —qué se comprometió, qué datos se tocaron, si el atacante sigue dentro—. Sin registros adecuados, la respuesta a "¿qué pasó exactamente?" es un encogimiento de hombros, y eso paraliza la respuesta y a menudo obliga a asumir lo peor. La ausencia de logs no solo dificulta: a veces hace imposible saber si una brecha fue de diez registros o de diez mil.

Qué pide en la práctica

• Generar registros en los sistemas relevantes: accesos, cambios, eventos de seguridad.
• Centralizarlos: juntarlos en un lugar seguro, en parte para poder analizarlos y en parte para que un atacante no pueda borrar el rastro local. Un log que vive solo en el equipo comprometido es un log que el atacante puede borrar.
• Conservarlos el tiempo suficiente: muchas brechas se descubren meses después, así que un log que se borra en días no sirve. Aquí importa registrar lo correcto por el tiempo correcto.

¿Qué salvaguardas incluye el Control 8 en CIS v8?

Son 12 salvaguardas, y dos de ellas dan cifras que conviene tener a la mano: cuánto tiempo guardar y cada cuánto revisar.

CIS agrupa las salvaguardas en tres grupos de implementación. IG1 es la higiene básica que recomienda para cualquier organización; IG2 suma lo necesario para empresas con más sistemas, personal de TI y datos sensibles; IG3 completa el control para organizaciones con requisitos de seguridad altos.

• IG1 (8.1 a 8.3): un proceso documentado de gestión de registros; recolectar registros de auditoría en los activos de la empresa; y asegurar almacenamiento suficiente para ellos.
• IG2 (8.4 a 8.11): sincronizar la hora de todos los equipos con una fuente común; registros detallados que sirvan para investigar; registros de consultas DNS; registros de las URL solicitadas; registros de la línea de comandos; centralizar los registros; conservarlos al menos 90 días; y revisarlos al menos cada semana para detectar anomalías.
• IG3 (8.12): recolectar también los registros de los proveedores de servicio, como la nube o las aplicaciones SaaS.

¿Por qué importa tanto sincronizar la hora?

Parece un detalle y es de lo primero que falla en una investigación. Si el firewall, el servidor de correo y el directorio tienen relojes con minutos de diferencia, reconstruir la secuencia de un ataque se vuelve adivinanza: no sabes qué pasó antes y qué después. Todos los equipos deben tomar la hora de la misma fuente NTP y registrar la zona horaria.

¿Por dónde empezar?

1. Tres fuentes primero: el firewall, el directorio de usuarios con sus inicios de sesión y el correo. Cubren la mayoría de las preguntas de una investigación.
2. Envíalos fuera del equipo que los genera, a un repositorio central con acceso restringido.
3. Fija la retención en al menos 90 días y verifica que el almacenamiento alcance antes de que se llene.
4. Agenda la revisión semanal con un responsable. Si nadie los mira, solo sirven después del incidente.

¿Qué evidencia pide un auditor para el Control 8?

Si tu empresa busca SOC 2 o ISO 27001, este control no se trabaja dos veces. En la ISO 27001:2022 corresponde a los controles 8.15 (registro de eventos), 8.16 (actividades de monitoreo) y 8.17 (sincronización de relojes). La evidencia que normalmente se revisa:

• La política de registro que define qué se registra, dónde y por cuánto tiempo.
• La configuración de envío de registros al repositorio central.
• Evidencia de la retención efectiva: registros disponibles de al menos 90 días atrás.
• Bitácoras o tickets de las revisiones periódicas y de las alertas atendidas.
• La configuración de NTP de los equipos principales.

Tener esto organizado desde el principio es lo que convierte el control en algo que se puede demostrar, no solo afirmar. La diferencia entre ambos marcos la explicamos en SOC 2 vs ISO 27001.

El aterrizaje honesto

Hay dos errores opuestos. Uno: no registrar casi nada, y descubrir en plena crisis que no hay pistas. Dos: registrar todo sin criterio, generando un océano de datos inútil, caro de guardar e imposible de revisar. El equilibrio es registrar lo que de verdad ayuda a detectar e investigar, centralizarlo a salvo y conservarlo un plazo sensato. No es el control más vistoso, pero el día de un incidente marca la diferencia entre "sabemos exactamente qué pasó y lo contuvimos" y "no tenemos idea, apaga todo por si acaso".