Con los logs se cometen dos errores opuestos y ambos caros. Uno es registrarlo todo "por si acaso": el volumen se dispara, la factura de almacenamiento también, y encontrar algo útil se vuelve buscar una aguja en un pajar que tú mismo construiste. El otro es no registrar casi nada, y descubrir el día del incidente que no hay rastro de lo que pasó. El logging útil vive en medio, y ese medio es una decisión, no un default.
Qué registrar
La pregunta guía no es "¿qué puedo capturar?", sino "¿qué necesitaría para investigar un incidente o demostrar cumplimiento?". Con ese criterio, la prioridad suele ser clara:
- Seguridad y autenticación: accesos, intentos fallidos, cambios de privilegios. Es lo primero que se mira tras un incidente.
- Cambios de configuración: quién tocó qué y cuándo. La causa raíz suele esconderse aquí.
- Errores de sistemas críticos: lo que anticipa una caída.
- Eventos exigidos por cumplimiento: lo que una norma o contrato te obliga a poder mostrar.
Y con el nivel de detalle adecuado a cada fuente: no todo merece registro exhaustivo.
Por cuánto tiempo
La retención rara vez es un solo número. Lo habitual es un esquema por capas que equilibra acceso y costo:
- Caliente: consulta rápida para las semanas o meses recientes, que es cuando más se investiga.
- Frío: almacenamiento más barato para periodos largos, con acceso más lento.
- Archivo: largo plazo, cuando una regulación o contrato lo exige.
El plazo de cada capa sale de cruzar tres cosas: necesidad forense, obligaciones de cumplimiento y costo. Ignorar cualquiera de las tres desequilibra el diseño.
El logging es la memoria del incidente
Cuando algo pasa, tu runbook de respuesta solo es tan bueno como los datos que puede consultar: sin los logs correctos, el triage es a ciegas. Por eso definir qué registrar y cuánto guardarlo no es un tema de almacenamiento, sino de capacidad de respuesta. Diseñar ese equilibrio —útil, defendible y sostenible en costo— es parte de nuestro NOC/SOC administrado. La meta no es tener más logs: es tener los que sirven cuando los necesitas.