Unidad Didáctica 3 · Procedimientos de monitorización de los accesos y la actividad del sistema
01Objetivos de la Monitorización y de la Gestión de Incidentes de Seguridad
Las medidas preventivas de la Parte I nunca son perfectas. La monitorización de los accesos y la actividad permite detectar a tiempo lo que se ha escapado, investigar lo ocurrido y demostrar el cumplimiento de la normativa.
- Detectar accesos no autorizados, intentos de intrusión y comportamientos anómalos.
- Reducir el tiempo entre el inicio de un ataque y su detección (en muchos incidentes reales se miden en semanas).
- Disponer de trazas para investigar qué pasó, quién lo hizo y qué alcance tuvo.
- Responsabilizar a los usuarios: saber que hay registro disuade.
- Cumplir con el RGPD (responsabilidad proactiva), el Esquema Nacional de Seguridad y las auditorías.
- Alimentar la mejora continua: qué ataques recibimos y qué medidas faltan.
Ciclo de gestión de incidentes de seguridad
- Preparación: procedimientos, herramientas, contactos y formación.
- Detección y análisis: a partir de alertas, registros o avisos de usuarios; confirmar si es un incidente y valorar su gravedad.
- Contención: limitar el daño (aislar el equipo, bloquear la cuenta o la IP).
- Erradicación: eliminar la causa (malware, cuenta comprometida, vulnerabilidad).
- Recuperación: volver a la normalidad vigilando que no se repita.
- Lecciones aprendidas: informe final y mejoras.
Guía de referenciaLa Guía nacional de notificación y gestión de ciberincidentes (aprobada por el Consejo Nacional de Ciberseguridad) define los niveles de peligrosidad e impacto y a quién notificar en España.
02Identificación y Caracterización de Aspectos Monitorizables o Auditables
| Aspecto | Qué registrar | Ejemplo de anomalía |
|---|---|---|
| Inicios de sesión | Correctos y fallidos, origen, tipo (local, remoto, de red), hora | Cientos de fallos seguidos (fuerza bruta); acceso a las 3:00 desde otro país |
| Uso de privilegios | Elevación (sudo, UAC), uso de cuentas de administración | Un usuario normal que usa sudo |
| Gestión de cuentas | Altas, bajas, cambios de grupo, restablecimientos de contraseña | Alguien añadido al grupo de administradores fuera de procedimiento |
| Acceso a objetos | Lectura, modificación o borrado de ficheros y carpetas sensibles | Descarga masiva de la carpeta de RR. HH. |
| Cambios de configuración y directivas | Modificación de GPO, del cortafuegos, de la auditoría | Se desactiva el registro de auditoría |
| Procesos y servicios | Creación de procesos, servicios nuevos, tareas programadas | Servicio nuevo instalado en un controlador de dominio |
| Red | Conexiones, puertos, tráfico, consultas DNS | Conexiones salientes a una IP de mando y control |
| Aplicaciones | Accesos y errores de aplicaciones de negocio y servidores web | Muchos errores 401 o 404 desde la misma IP |
| Sistema | Arranques, apagados, cambios de hora, borrado de registros | Borrado del registro de seguridad (evento 1102) |
No se puede registrar todo con el máximo detalle: el volumen sería inmanejable. La política de auditoría debe priorizar según el análisis de riesgos qué equipos (controladores de dominio, servidores con datos sensibles, cortafuegos) y qué sucesos se registran.
03Clasificación de Eventos e Incidencias
| Clase | Origen | Ejemplos | Dónde se registran |
|---|---|---|---|
| De sistema | Sistema operativo, controladores, servicios | Arranque, fallo de disco, servicio detenido, actualización | Registro System de Windows; syslog/journald (kern, daemon) |
| De aplicación | Programas y servicios de aplicación | Error de la base de datos, fallo del ERP, petición web | Registro Application de Windows; logs propios (/var/log/apache2, logs de SQL) |
| De seguridad | Subsistema de seguridad y auditoría | Inicios de sesión, cambios de permisos, acceso a objetos, uso de privilegios | Registro Security de Windows; /var/log/auth.log o secure; auditd |
Niveles de gravedad
| Windows | Syslog (RFC 5424) |
|---|---|
| Crítico | 0 emerg · 1 alert · 2 crit |
| Error | 3 err |
| Advertencia | 4 warning |
| Información | 5 notice · 6 info |
| Detallado | 7 debug |
| Auditoría correcta / Auditoría con error (registro Security) | authpriv / auth (facility) |
04Mecanismos de Monitorización de Trazas
Logs del sistema
| Sistema | Mecanismo | Ubicación |
|---|---|---|
| Windows | Registro de eventos (Event Log): System, Application, Security, Setup y registros de aplicaciones y servicios (PowerShell, Sysmon, Defender, TerminalServices) | C:\Windows\System32\winevt\Logs\*.evtx |
| Linux (systemd) | journald | journalctl; /var/log/journal |
| Linux (clásico) | rsyslog o syslog-ng | /var/log/syslog, auth.log, kern.log (Debian); messages, secure (Red Hat) |
| Linux (auditoría) | auditd (Linux Audit) | /var/log/audit/audit.log |
| Equipos de red | Syslog remoto, SNMP traps | Servidor syslog central |
| Aplicaciones | Ficheros propios | /var/log/apache2/access.log, logs de IIS, de bases de datos |
| Nube | Registros de auditoría del proveedor | Microsoft 365 / Entra ID, AWS CloudTrail |
Consolas de monitorización de usuarios
- Sesiones activas: quser y qwinsta (Windows), who, w y last (Linux).
- Administración de equipos (compmgmt.msc) → Carpetas compartidas → Sesiones y Archivos abiertos: quién tiene abierto qué en el servidor de ficheros.
- Consolas de escritorio remoto y de la pasarela RDP: conexiones por usuario.
- Paneles de inicio de sesión de Microsoft Entra ID o Google Workspace: accesos a la nube con ubicación y dispositivo.
- Herramientas de grabación de sesiones privilegiadas (PAM) para administradores y proveedores.
CentralizarLos registros guardados solo en cada equipo se pierden si el equipo se compromete (el atacante los borra) o se avería. Deben enviarse a un servidor central (reenvío de eventos de Windows, rsyslog remoto, agente del SIEM) con acceso restringido y sincronización horaria (NTP) en todos los equipos.
05Información de los Registros de Trazas
Un registro útil responde a las preguntas: ¿quién?, ¿qué?, ¿cuándo?, ¿dónde?, ¿desde dónde? y ¿con qué resultado?
| Campo | Ejemplo en Windows (evento 4625) | Ejemplo en Linux (auth.log) |
|---|---|---|
| Fecha y hora | TimeCreated 2026-11-10T08:14:22 | Nov 10 08:14:22 |
| Equipo | SRV-FICHEROS | srv-web |
| Origen o proveedor | Microsoft-Windows-Security-Auditing | sshd[2211] |
| Identificador o tipo de suceso | 4625 (error de inicio de sesión) | Failed password |
| Usuario | TargetUserName: admin | for invalid user admin |
| Origen de la conexión | IpAddress: 203.0.113.45 | from 203.0.113.45 port 51234 |
| Tipo y detalle | LogonType 3 (red) / 10 (remoto interactivo); Status 0xC000006A (contraseña incorrecta) | ssh2 |
Identificadores de evento de seguridad de Windows más usados
| ID | Suceso |
|---|---|
| 4624 / 4625 | Inicio de sesión correcto / fallido |
| 4634 / 4647 | Cierre de sesión |
| 4648 | Inicio de sesión con credenciales explícitas (runas) |
| 4672 | Se asignan privilegios especiales al iniciar sesión (cuenta de administración) |
| 4720 / 4726 | Cuenta de usuario creada / eliminada |
| 4728 / 4732 / 4756 | Miembro añadido a un grupo global / local / universal de seguridad |
| 4740 | Cuenta bloqueada |
| 4663 | Intento de acceso a un objeto (requiere auditoría de acceso a objetos y SACL) |
| 4688 | Proceso creado (con la línea de comandos si se habilita) |
| 4697 / 7045 | Servicio instalado |
| 4698 | Tarea programada creada |
| 1102 | Registro de auditoría borrado |
| Tipo de inicio de sesión (LogonType) | Significado |
|---|---|
| 2 | Interactivo (en la consola) |
| 3 | Red (acceso a una carpeta compartida) |
| 4 / 5 | Lote (tarea programada) / Servicio |
| 7 | Desbloqueo |
| 10 | Remoto interactivo (escritorio remoto) |
| 11 | Con credenciales en caché |
06Configuración de la Auditoría en Windows y Linux
Windows: directiva de auditoría avanzada
- 1. Directiva de seguridad local (secpol.msc) o GPO → Configuración de directiva de auditoría avanzada.
- 2. Habilitar como mínimo: Inicio de sesión (correcto y error), Bloqueo de cuenta, Administración de cuentas de usuario y de grupos de seguridad, Uso de privilegios confidenciales, Cambio de directiva de auditoría, Creación de procesos.
- 3. Para auditar el acceso a una carpeta: habilitar «Sistema de archivos» y configurar la SACL en la carpeta (Propiedades → Seguridad → Opciones avanzadas → Auditoría).
- 4. Aumentar el tamaño máximo del registro Security (por ejemplo, a 1 GB) o reenviarlo a un colector.
auditpol /get /category:*
auditpol /set /subcategory:"Logon" /success:enable /failure:enable
auditpol /set /subcategory:"Process Creation" /success:enable
wevtutil sl Security /ms:1073741824 :: registro Security de 1 GB
REM Fallos de inicio de sesión de las últimas 24 h, agrupados por IP de origen
Get-WinEvent -FilterHashtable @{LogName='Security';Id=4625;StartTime=(Get-Date).AddDays(-1)} |
ForEach-Object { ([xml]$_.ToXml()).Event.EventData.Data | Where Name -eq 'IpAddress' | Select -Expand '#text' } |
Group-Object | Sort Count -Desc | Select -First 10 Count,Name
Linux: journald, rsyslog y auditd
journalctl _SYSTEMD_UNIT=ssh.service --since today | grep -E 'Failed|Accepted'
sudo grep 'Failed password' /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head
last -n 20 ; lastb -n 20 # accesos correctos / fallidos
# auditd: vigilar cambios en ficheros críticos
sudo apt install -y auditd
sudo auditctl -w /etc/passwd -p wa -k cuentas
sudo auditctl -w /etc/sudoers -p wa -k sudoers
sudo ausearch -k cuentas -i | tail
sudo aureport --login --failed
# Enviar los registros a un servidor central (rsyslog)
echo '*.* @@siem.empresa.local:514' | sudo tee /etc/rsyslog.d/90-central.conf && sudo systemctl restart rsyslog
07Técnicas de Monitorización: Correlación de Logs y de Eventos
Un evento aislado suele ser poco significativo; varios eventos relacionados cuentan una historia. La correlación consiste en relacionar eventos de distintas fuentes y momentos para detectar patrones de ataque.
| Regla de correlación (ejemplo) | Eventos que relaciona | Posible ataque |
|---|---|---|
| Más de 20 fallos de inicio de sesión de una IP en 5 minutos | 4625 o «Failed password» repetidos | Fuerza bruta o pulverización de contraseñas |
| Varios fallos seguidos de un acierto del mismo origen | 4625 × N + 4624 | Fuerza bruta con éxito |
| Inicio de sesión de un usuario desde dos países en una hora | Accesos a la VPN o a la nube | Credenciales robadas (viaje imposible) |
| Alta en un grupo de administradores fuera del horario laboral | 4728 / 4732 + hora | Escalada de privilegios |
| Proceso de Office que lanza PowerShell | 4688 o Sysmon 1 con proceso padre winword.exe | Macro maliciosa |
| Borrado del registro de seguridad | 1102 | Intento de ocultar huellas |
| Muchos ficheros renombrados en poco tiempo en el servidor de ficheros | 4663 masivos | Ransomware cifrando |
El SIEM
Un SIEM (Security Information and Event Management) recoge registros de todas las fuentes, los normaliza a un formato común, los guarda, aplica reglas de correlación, genera alertas y permite buscar e investigar. Ejemplos: Wazuh (libre, combina HIDS y SIEM), Elastic Security, Graylog, Splunk, Microsoft Sentinel, y en el sector público español la plataforma del CCN-CERT (GLORIA) y su red de alerta temprana.
Recolección
Agentes, syslog, reenvío de eventos, APIs.
Normalización
Mismos nombres de campos para usuario, IP, acción.
Correlación
Reglas y detección de anomalías.
Alertas
Con gravedad y contexto.
Búsqueda e investigación
Consultas sobre el histórico.
Retención
Conservación de los registros el tiempo exigido.
08Reglas de Detección: Sigma y Wazuh
Una regla de detección describe un patrón sospechoso en los registros. Sigma es un formato abierto en YAML para escribir reglas una vez y convertirlas al lenguaje de cada SIEM (Wazuh, Elastic, Splunk, Sentinel). Su repositorio público tiene miles de reglas mantenidas por la comunidad.
# Sigma: alta de un usuario en un grupo de administradores
title: Usuario añadido a un grupo de administradores
status: stable
logsource:
product: windows
service: security
detection:
seleccion:
EventID: [4728, 4732, 4756]
TargetUserName|contains: ['Admins', 'Administradores']
condition: seleccion
level: high
falsepositives: ['Altas aprobadas por el procedimiento de cambios']
<!-- Wazuh: acceso correcto después de fallos de autenticación desde la misma IP -->
<!-- (mismo patrón que la regla 40112 incluida en Wazuh) -->
<group name="local,autenticacion,">
<rule id="100100" level="12" timeframe="240">
<if_group>authentication_success</if_group>
<if_matched_group>authentication_failures</if_matched_group>
<same_source_ip />
<description>Acceso correcto tras varios fallos desde la misma IP</description>
<mitre><id>T1110</id></mitre>
</rule>
</group>
- Toda regla nueva se prueba con registros reales antes de activar avisos (Wazuh incluye wazuh-logtest).
- Cada regla documenta sus falsos positivos conocidos y qué hacer cuando salta (enlace a su runbook).
- Las reglas se asocian a técnicas de la matriz MITRE ATT&CK, el catálogo de técnicas de atacantes, para saber qué técnicas se detectan y cuáles no.
Comprueba los identificadoresLos identificadores de reglas y los nombres de grupos pueden cambiar entre versiones de Wazuh, y los nombres de los grupos de Active Directory dependen del idioma del sistema. Antes de activar una regla, pruébala en tu instalación con wazuh-logtest.
09Herramientas de Monitorización Propias del Sistema Operativo
| Herramienta | Sistema | Uso |
|---|---|---|
| Visor de eventos con vistas personalizadas y filtros XML | Windows | Revisar los eventos de seguridad y crear vistas por ID |
| Reenvío de eventos (WEF) y suscripciones (wecutil) | Windows | Centralizar los eventos en un colector sin software adicional |
| Sysmon (Sysinternals) | Windows | Registro detallado de procesos, conexiones, cambios de ficheros y de registro |
| Get-WinEvent y wevtutil | Windows | Consultas y exportación por línea de comandos |
| Firewall de Windows Defender con registro | Windows | Conexiones permitidas y bloqueadas (pfirewall.log) |
| journalctl, rsyslog, logrotate | Linux | Consultar, centralizar y rotar registros |
| auditd, ausearch, aureport | Linux | Auditoría detallada de ficheros y llamadas al sistema |
| last, lastb, who, w, faillog o faillock | Linux | Accesos y sesiones |
| ss, netstat, lsof | Ambos | Conexiones y puertos abiertos |
10Sysmon y Reenvío de Eventos de Windows
Sysmon
Sysmon (System Monitor, de Sysinternals) es un servicio gratuito que añade al Visor de eventos un registro detallado de la actividad: procesos con su línea de comandos y su hash, conexiones de red, ficheros creados, cambios en el registro y consultas DNS. Es una de las fuentes más valiosas para detectar e investigar intrusiones en Windows.
| ID de evento Sysmon | Registra |
|---|---|
| 1 | Creación de proceso (con proceso padre, línea de comandos y hash) |
| 3 | Conexión de red |
| 7 | Carga de una imagen (DLL) |
| 11 | Creación de fichero |
| 12 / 13 | Creación o modificación de claves de registro |
| 22 | Consulta DNS |
REM Instalar Sysmon con una configuración de la comunidad (por ejemplo, la de SwiftOnSecurity)
sysmon64.exe -accepteula -i sysmonconfig.xml
REM Actualizar la configuración más adelante
sysmon64.exe -c sysmonconfig.xml
REM Los eventos están en: Registros de aplicaciones y servicios > Microsoft > Windows > Sysmon > Operational
Get-WinEvent -LogName 'Microsoft-Windows-Sysmon/Operational' -MaxEvents 5 | Format-List TimeCreated,Id,Message
Reenvío de eventos de Windows (WEF)
- 1. En el colector: ejecutar wecutil qc para activar el servicio de recopilación de eventos de Windows.
- 2. En los equipos origen: activar WinRM (winrm quickconfig o por GPO) y añadir la cuenta de equipo del colector (o «Servicio de red») al grupo local Lectores del registro de eventos.
- 3. Por GPO: Configuración del equipo → Plantillas administrativas → Componentes de Windows → Reenvío de eventos → Configurar el administrador de suscripciones de destino: Server=http://colector.dominio.local:5985/wsman/SubscriptionManager/WEC.
- 4. En el colector, crear la suscripción iniciada por el origen, con los equipos de un grupo de AD y una consulta XML con los ID que interesan (4624, 4625, 4720, 4728, 4732, 1102, Sysmon 1 y 3…).
- 5. Comprobar: los eventos llegan al registro «Eventos reenviados» del colector; desde ahí los recoge el agente del SIEM.
VolumenReenviar todos los eventos de todos los equipos satura el colector. Se reenvían los de seguridad relevantes y los de Sysmon filtrados por la configuración, y se dimensiona el colector según el número de equipos.
11Sistemas de Detección Basados en Equipo (HIDS)
Un HIDS (Host-based Intrusion Detection System) se instala en cada equipo y vigila lo que ocurre dentro de él: registros, integridad de ficheros, procesos, configuración y rootkits.
| Función | Ejemplo |
|---|---|
| Análisis de registros | Detecta fallos de autenticación repetidos en auth.log o en el registro Security |
| Monitorización de integridad de ficheros (FIM) | Avisa si cambia /etc/passwd, un binario del sistema o la web publicada |
| Detección de rootkits | Busca ficheros, procesos o puertos ocultos |
| Evaluación de la configuración | Compara con guías de bastionado (CIS Benchmarks) |
| Inventario de vulnerabilidades | Software instalado con fallos conocidos (CVE) |
| Respuesta activa | Bloquea una IP en el cortafuegos local tras un ataque |
WazuhOSSECTripwireAIDESamhainFail2banEDR comerciales
# AIDE: integridad de ficheros
sudo apt install -y aide && sudo aideinit
sudo cp /var/lib/aide/aide.db.new /var/lib/aide/aide.db
sudo aide --check
# Fail2ban: bloqueo automático de IP tras fallos de SSH
sudo apt install -y fail2ban
sudo fail2ban-client status sshd
| Ventajas | Inconvenientes |
|---|---|
| Ve lo que pasa dentro del equipo, incluido el tráfico cifrado ya descifrado | Hay que instalarlo y mantenerlo en cada equipo |
| Detecta cambios de ficheros y abusos de usuarios internos | Consume recursos del equipo |
| Puede responder en el propio equipo | Si el atacante obtiene privilegios, puede desactivarlo |
12Sistemas de Detección Basados en Red (NIDS)
Un NIDS (Network-based Intrusion Detection System) analiza el tráfico que pasa por un punto de la red y lo compara con firmas de ataques conocidos o con un comportamiento normal.
Ubicación y captura del tráfico
- Puerto espejo del switch (SPAN o port mirroring) o un TAP de red, para recibir una copia del tráfico.
- Puntos típicos: detrás del cortafuegos perimetral, en la DMZ, delante de los servidores críticos y en el tráfico entre segmentos internos.
- El NIDS trabaja en modo pasivo: ve el tráfico pero no lo detiene.
| Técnica de detección | Funcionamiento | Ventaja | Inconveniente |
|---|---|---|---|
| Por firmas | Compara con patrones de ataques conocidos | Pocos falsos positivos con ataques conocidos | No detecta ataques nuevos (día cero) |
| Por anomalías | Aprende el comportamiento normal y avisa de las desviaciones | Puede detectar ataques nuevos | Más falsos positivos; necesita aprendizaje |
| Por protocolo | Detecta usos incorrectos de los protocolos | Detecta evasiones | Más carga de proceso |
SuricataSnortZeekSecurity Onion (distribución que los integra)
# Suricata en modo IDS sobre una interfaz
sudo apt install -y suricata
sudo suricata-update # descarga reglas (Emerging Threats Open)
sudo suricata -c /etc/suricata/suricata.yaml -i eth0
sudo tail -f /var/log/suricata/fast.log # alertas resumidas
jq 'select(.event_type=="alert")' /var/log/suricata/eve.json | head
Tráfico cifradoHoy casi todo el tráfico va cifrado (HTTPS, TLS). El NIDS no ve el contenido, pero sí metadatos útiles: IP, puertos, nombres de dominio (SNI), certificados, volúmenes y huellas TLS (JA3/JA4). Por eso se combina con HIDS y EDR.
13Detectar Ataques en el Registro de un Servidor Web
Los servidores web expuestos a Internet reciben ataques automáticos a todas horas. El registro de acceso deja huellas reconocibles, que se pueden buscar a mano o con reglas del HIDS o del WAF.
| Patrón en la petición | Posible ataque |
|---|---|
| Cientos de 404 seguidos desde la misma IP a rutas como /wp-admin, /.env, /phpmyadmin, /.git/config | Escaneo automatizado en busca de paneles o ficheros sensibles |
| Parámetros con ' OR 1=1, UNION SELECT, SLEEP( | Inyección SQL |
| <script>, onerror=, javascript: en la URL | Cross-site scripting (XSS) |
| ../../, %2e%2e%2f, /etc/passwd | Recorrido de directorios (path traversal) |
| ${jndi:ldap:// | Explotación de Log4Shell |
| Muchos POST a /login o /wp-login.php | Fuerza bruta de credenciales |
| User-Agent como sqlmap, nikto, nmap, masscan | Herramientas de ataque identificadas (los atacantes reales suelen falsearlo) |
LOG=/var/log/apache2/access.log
# IP con más errores 404 (posibles escáneres)
awk '$9==404 {print $1}' $LOG | sort | uniq -c | sort -rn | head
# Peticiones con patrones de inyección o recorrido de directorios
grep -Ei "union.*select|or%201=1|'%20or%20|\.\./|%2e%2e|etc/passwd|<script|jndi:" $LOG | tail
# Intentos de inicio de sesión por IP
grep -E 'POST /(wp-)?login' $LOG | awk '{print $1}' | sort | uniq -c | sort -rn | head
- Distinguir intento de éxito: el código de respuesta y el tamaño importan; un 200 con un tamaño anómalo tras una inyección es mucho más grave que un 404.
- Correlacionar: buscar la misma IP en el registro de errores, en el de la base de datos y en el cortafuegos.
- Responder: bloquear la IP (Fail2ban, WAF), corregir la vulnerabilidad si el intento tuvo éxito y abrir un incidente.
14Sistemas de Prevención de Intrusiones (IPS)
Un IPS (Intrusion Prevention System) es un sistema de detección colocado en línea (inline), por el que pasa el tráfico: además de detectar, puede bloquear el paquete, cortar la conexión o bloquear la IP de origen.
| IDS | IPS | |
|---|---|---|
| Posición | Fuera de línea (copia del tráfico) | En línea (el tráfico pasa a través) |
| Acción | Alerta | Alerta y bloquea |
| Riesgo | Que no se reaccione a tiempo | Que un falso positivo bloquee tráfico legítimo; punto de fallo en la red |
| Ejemplos | Suricata o Snort en modo IDS, Zeek | Suricata en modo IPS (NFQUEUE), módulos IPS de cortafuegos de nueva generación (NGFW), WAF para aplicaciones web |
- Se recomienda empezar en modo detección, ajustar las reglas para eliminar falsos positivos y solo después activar el bloqueo.
- Los cortafuegos de nueva generación (Fortinet, Palo Alto, pfSense u OPNsense con Suricata) integran IPS, filtrado web y control de aplicaciones.
- Un WAF (Web Application Firewall, como ModSecurity con las reglas OWASP CRS) es un IPS especializado en aplicaciones web.
- Los HIPS (IPS de equipo) y los EDR aplican la misma idea dentro de cada equipo.
15Informes de Monitorización: Recolección, Análisis y Verificación de la Intrusión
- 1. Recolección de información: reunir los registros relevantes de todas las fuentes (equipos, red, aplicaciones, nube), con su hora sincronizada, y preservarlos (copia con su hash) si puede haber un procedimiento legal.
- 2. Análisis y correlación de eventos: construir la línea temporal (timeline) de lo ocurrido, relacionar usuarios, IP y equipos, y buscar los indicadores de compromiso (IoC) en el resto de la red.
- 3. Verificación de la intrusión: confirmar si es un ataque real o un falso positivo; comprobar si tuvo éxito (¿hubo un inicio de sesión correcto tras los fallos?, ¿se ejecutó algo?, ¿salieron datos?).
- 4. Valoración: alcance (equipos, cuentas y datos afectados), peligrosidad e impacto según la guía nacional.
- 5. Informe: con resumen ejecutivo, cronología, evidencias, impacto, acciones tomadas y recomendaciones.
| Falso positivo | Falso negativo |
|---|---|
| Alerta sin ataque real (un administrador que se equivoca de contraseña varias veces) | Ataque real que no genera alerta |
| Consume tiempo y provoca fatiga de alertas | Mucho más peligroso: el ataque sigue sin que nadie lo sepa |
| Se reduce ajustando reglas y listas de excepciones | Se reduce con más fuentes, mejores reglas y búsqueda proactiva (threat hunting) |
| Informe periódico de monitorización | Contenido |
|---|---|
| Accesos | Inicios de sesión fallidos por cuenta e IP; cuentas bloqueadas; accesos fuera de horario |
| Cuentas y privilegios | Altas, bajas y cambios en grupos privilegiados |
| Alertas de IDS/IPS y antimalware | Número por tipo y gravedad; tendencias |
| Incidentes | Abiertos, cerrados, tiempos de respuesta |
| Recomendaciones | Medidas para el próximo periodo |
16Evidencias Digitales y Cadena de Custodia
Si un incidente puede acabar en una denuncia, un despido o un procedimiento judicial, las evidencias deben recogerse de forma que se pueda demostrar que no se han alterado. El operador suele ser el primero en llegar: lo que haga o deje de hacer en esos minutos es decisivo.
Orden de volatilidad (RFC 3227)
- 1. Registros y caché de la CPU, memoria RAM (procesos, conexiones, claves en memoria).
- 2. Estado de la red, tablas ARP y de rutas, procesos en ejecución.
- 3. Ficheros temporales y área de intercambio.
- 4. Disco.
- 5. Registros remotos y datos de monitorización.
- 6. Soportes de archivo y copias de seguridad.
| Hacer | No hacer |
|---|---|
| Aislar el equipo de la red sin apagarlo (si se va a hacer análisis forense) | Apagar el equipo: se pierde la memoria |
| Anotar todo con hora: qué se ve, qué se hace y quién lo hace | «Echar un vistazo» navegando por los ficheros del equipo sospechoso |
| Copiar los registros centralizados y calcular su hash (SHA-256) | Reinstalar o limpiar antes de recoger evidencias |
| Avisar al responsable de seguridad y, si procede, a un perito o a las fuerzas de seguridad | Instalar herramientas en el equipo afectado sin necesidad |
Cadena de custodia
Es el registro documentado de cada evidencia desde que se recoge: qué es, quién la recoge, cuándo, dónde, su hash, por qué manos pasa, dónde se guarda y cada vez que se accede a ella. Sin cadena de custodia, una evidencia puede ser rechazada en un juicio.
# Copia de los registros con su huella digital
sudo cp /var/log/auth.log /evidencias/2026-11-10_srv-web_auth.log
sha256sum /evidencias/2026-11-10_srv-web_auth.log | tee -a /evidencias/hashes.txt
REM Windows: exportar el registro de seguridad y calcular su hash
wevtutil epl Security E:\evidencias\SRV1_Security.evtx
Get-FileHash E:\evidencias\SRV1_Security.evtx -Algorithm SHA256
17Alarmas y Acciones Correctivas
| Alarma | Acción correctiva inmediata | Acción posterior |
|---|---|---|
| Fuerza bruta contra SSH o RDP desde Internet | Bloquear la IP (Fail2ban, cortafuegos) | Cerrar el servicio a Internet; acceso solo por VPN con MFA |
| Inicio de sesión correcto tras muchos fallos | Bloquear la cuenta, cerrar sesiones, cambiar contraseña | Investigar qué hizo la cuenta |
| Usuario añadido a Admins. del dominio sin cambio aprobado | Retirarlo y deshabilitar la cuenta que lo hizo | Investigación completa; revisión de todos los privilegiados |
| Malware detectado en un equipo | Aislar el equipo | Procedimiento de desinfección (Parte I) |
| Renombrado masivo de ficheros (posible ransomware) | Aislar el equipo origen y desconectar el recurso compartido | Restaurar desde copias; notificar |
| Registro de auditoría borrado | Tratar el equipo como comprometido | Análisis forense con los registros centralizados |
| Conexiones a dominios maliciosos | Bloquear en el DNS o el proxy y aislar el equipo | Buscar el mismo indicador en el resto de equipos |
Documentar siempreCada acción tomada durante un incidente se anota con hora y autor. Es imprescindible para el informe, para una posible denuncia y para notificar a la AEPD o al CSIRT en los plazos exigidos.
18Caso Práctico Resuelto: Investigación de un Acceso Indebido
Lunes, 08:40. El SIEM de una mutua laboral genera una alerta de nivel alto: «Usuario añadido a un grupo de administradores fuera de horario». El operador de guardia empieza la investigación.
| Hora (sábado) | Fuente | Evento | Interpretación |
|---|---|---|---|
| 02:11:05 | VPN | Conexión correcta de la cuenta jvidal desde una IP de otro país | jvidal está de vacaciones en España según RR. HH.: sospechoso |
| 02:11:30 | DC · 4624 | Inicio de sesión de jvidal, tipo 3 | Usa credenciales válidas, probablemente robadas |
| 02:14:52 | DC · 4625 × 23 | Fallos de inicio de sesión de jvidal contra varios servidores | Prueba en qué equipos tiene acceso |
| 02:31:10 | SRV-FICHEROS · Sysmon 1 | powershell.exe con una orden codificada lanzado por jvidal | Ejecución remota de código |
| 02:33:47 | DC · 4720 | Se crea la cuenta «soporte2» | Persistencia: cuenta nueva |
| 02:34:02 | DC · 4728 | «soporte2» añadida a Admins. del dominio | Escalada de privilegios (dispara la alerta, que nadie atendió hasta el lunes) |
| 02:50-04:10 | Cortafuegos | 5,8 GB salientes de SRV-FICHEROS a un servicio de almacenamiento en la nube | Posible exfiltración de datos |
- Contención (08:55): deshabilitar jvidal y soporte2, cerrar sus sesiones, cortar la VPN a esa IP, aislar SRV-FICHEROS.
- Evidencias: exportar con hash los registros del DC, del servidor, de la VPN y del cortafuegos; cadena de custodia.
- Notificaciones: responsable de seguridad y dirección; al haber datos de salud de trabajadores, notificación a la AEPD en 72 h; como posible entidad NIS2, aviso temprano al CSIRT de referencia (INCIBE-CERT) en 24 h; denuncia.
- Erradicación y recuperación: restablecer las contraseñas de las cuentas privilegiadas, revisar tareas y servicios creados, restaurar el servidor desde una copia limpia, cambiar la contraseña de jvidal y activar MFA en la VPN, que no lo tenía.
- Lecciones aprendidas: MFA obligatorio en la VPN; alertas de nivel alto notificadas a la guardia también en fin de semana; regla de viaje imposible en la VPN; límite de tráfico saliente anómalo.
Clave del casoLa alerta funcionó a las 02:34, pero no llegó a nadie hasta el lunes. Monitorizar sin un proceso de respuesta 24 × 7 para lo crítico solo sirve para saber después qué pasó.
19Organismos de Gestión de Incidentes
Un CERT o CSIRT (Equipo de Respuesta ante Emergencias Informáticas o ante Incidentes de Seguridad) ayuda a prevenir, detectar y responder a incidentes en su ámbito y coordina con otros equipos.
Nacionales
| Organismo | Ámbito |
|---|---|
| INCIBE-CERT (Instituto Nacional de Ciberseguridad) | Ciudadanos, empresas privadas, operadores de servicios esenciales del sector privado y red académica y de investigación. Línea gratuita de ayuda en ciberseguridad 017 |
| CCN-CERT (Centro Criptológico Nacional) | Sector público: Administración General del Estado, comunidades autónomas, entidades locales; Esquema Nacional de Seguridad |
| ESPDEF-CERT (Mando Conjunto del Ciberespacio) | Defensa |
| RedIRIS-CERT (antes IRIS-CERT) | Universidades y centros de investigación conectados a RedIRIS |
| esCERT-UPC | Equipo pionero de la Universidad Politécnica de Cataluña, citado en el BOE, de los primeros CSIRT españoles |
| CSIRT autonómicos | CSIRT-CV (Comunitat Valenciana), Agencia de Ciberseguridad de Cataluña, BCSC (País Vasco), Andalucía-CERT… |
| CSIRT.es | Plataforma que reúne a los CSIRT españoles |
| Policía Nacional y Guardia Civil | Denuncia de ciberdelitos (Unidad Central de Ciberdelincuencia, Grupo de Delitos Telemáticos) |
| AEPD | Notificación de brechas de datos personales (72 horas) |
Internacionales
| Organismo | Ámbito |
|---|---|
| CERT/CC (Universidad Carnegie Mellon) | El primer CERT (1988), referente en vulnerabilidades y buenas prácticas |
| FIRST (Forum of Incident Response and Security Teams) | Foro mundial de equipos de respuesta; define estándares como CVSS y TLP |
| ENISA (Agencia de la UE para la Ciberseguridad) | Apoyo a los Estados miembros; red europea de CSIRT |
| CERT-EU | Instituciones de la Unión Europea |
| Trusted Introducer | Red y acreditación de equipos europeos |
TLP (Traffic Light Protocol)Etiquetado de FIRST para compartir información de incidentes: TLP:RED (solo los destinatarios), TLP:AMBER (su organización), TLP:GREEN (su comunidad), TLP:CLEAR (pública).
20Glosario de la Parte II
- Traza / log
- Registro de un suceso del sistema, de una aplicación o de seguridad.
- Auditoría (Windows)
- Configuración de qué sucesos de seguridad se registran.
- SACL
- Lista de auditoría de un objeto: qué accesos a él se registran.
- LogonType
- Tipo de inicio de sesión en un evento de Windows (2 interactivo, 3 red, 10 remoto).
- auditd
- Subsistema de auditoría de Linux.
- Correlación
- Relacionar eventos de varias fuentes y momentos para detectar un patrón.
- SIEM
- Sistema que recoge, normaliza, correlaciona y conserva eventos de seguridad.
- HIDS / NIDS
- Detección de intrusiones en el equipo / en la red.
- IPS / WAF
- Sistema de prevención en línea / cortafuegos de aplicaciones web.
- FIM
- Vigilancia de la integridad de ficheros.
- Sigma
- Formato abierto de reglas de detección portables entre SIEM.
- Sysmon
- Servicio de Sysinternals que registra actividad detallada en Windows.
- WEF
- Reenvío de eventos de Windows a un colector.
- IoC
- Indicador de compromiso: IP, dominio, hash o patrón asociado a un ataque.
- Falso positivo / negativo
- Alerta sin ataque / ataque sin alerta.
- Cadena de custodia
- Registro documentado del manejo de una evidencia.
- CSIRT / CERT
- Equipo de respuesta ante incidentes de seguridad.
- TLP
- Protocolo de etiquetado para compartir información sensible.
21Autoevaluación de la Parte II
¿Qué evento de Windows registra un inicio de sesión fallido y qué campo dice desde dónde se intentó?
El 4625; el campo IpAddress (y WorkstationName) indica el origen.
¿Por qué deben centralizarse los registros?
Porque si un atacante compromete el equipo puede borrarlos, y porque solo con todos juntos se pueden correlacionar eventos de distintas fuentes.
¿Qué diferencia hay entre un IDS y un IPS?
El IDS recibe una copia del tráfico y alerta; el IPS está en línea y puede bloquear. El IPS tiene el riesgo de cortar tráfico legítimo por un falso positivo.
¿Qué detecta un HIDS que no ve un NIDS?
Lo que ocurre dentro del equipo: cambios en ficheros críticos, registros locales, procesos, abusos de usuarios internos y el contenido del tráfico cifrado una vez descifrado.
En el registro web aparece «GET /index.php?id=1%20UNION%20SELECT...» con código 200 y un tamaño de respuesta muy grande. ¿Qué haces?
Tratarlo como posible inyección SQL con éxito: abrir incidente, bloquear la IP, conservar evidencias, avisar al responsable de la aplicación para corregirla y comprobar qué datos se han podido extraer.
¿Por qué no se debe apagar un equipo comprometido si se va a hacer análisis forense?
Porque se pierde la información volátil de la memoria: procesos, conexiones, claves y malware que solo reside en RAM.
¿A qué CSIRT notificaría un incidente un ayuntamiento? ¿Y una empresa privada?
Un ayuntamiento, al CCN-CERT (sector público). Una empresa privada, a INCIBE-CERT (o a su CSIRT autonómico).
¿Qué etiqueta TLP pondrías a un informe que solo puede circular dentro de tu organización?
TLP:AMBER (o TLP:AMBER+STRICT si solo puede circular dentro de la propia organización).
¿Qué es un falso negativo y por qué es más grave que un falso positivo?
Un ataque real que no genera alerta. Es más grave porque el atacante sigue actuando sin que nadie lo sepa; el falso positivo solo hace perder tiempo.