Qué necesita
Acceso de lectura a los registros, una copia que pueda sacar de la máquina y la zona horaria del sistema. El análisis forense de registros interpreta archivos .evtx de Windows, syslog, auth.log y secure, registros de acceso y de errores de Apache y nginx y registros W3C de IIS, todo en su navegador.
Cómo leer el resultado
Aquí tiene parte de un auth.log de Ubuntu (abreviado; el archivo tiene 17 líneas):
Oct 8 02:14:03 web01 sshd[4101]: Accepted publickey for alice from 192.0.2.10 port 50122 ssh2: ED25519 SHA256:k3Yp0wq9
Oct 8 03:12:00 web01 sshd[4200]: Failed password for root from 203.0.113.45 port 40000 ssh2
Oct 8 03:12:07 web01 sshd[4201]: Failed password for root from 203.0.113.45 port 40001 ssh2
... (8 failures for root, 7 seconds apart)
Oct 8 03:40:00 web01 sshd[4300]: Failed password for invalid user admin from 198.51.100.23 port 51000 ssh2
Oct 8 03:40:09 web01 sshd[4301]: Failed password for invalid user test from 198.51.100.23 port 51001 ssh2
... (6 different user names, one attempt each)
Al cargarlo en la herramienta, produce estos hallazgos:
- Alta: «Se observaron 5 intentos de autenticación fallidos contra una sola cuenta/fuente en una ventana corta - el patrón de un ataque de fuerza bruta.» Origen: 203.0.113.45.
- Alta: «5 inicios de sesión fallidos en 5 cuentas distintas provinieron de una sola fuente en una ventana corta - un patrón de rociado de contraseñas, no una fuerza bruta dirigida.» Origen: 198.51.100.23.
- Información: las 17 líneas de syslog no llevan año, así que el año se infirió.
Los números son el punto en que saltó cada detector, no los totales: al filtrar por 203.0.113.45 se ven los 8 intentos, y por 198.51.100.23 los 6 nombres de usuario. La fuerza bruta se informa a partir de 5 fallos desde un mismo origen en 5 minutos contra menos de 5 cuentas; el rociado, a partir de 5 cuentas con no más de 2 intentos cada una en 10 minutos. Un éxito desde el mismo origen dentro de los 2 minutos siguientes a una ráfaga de fuerza bruta genera un tercer hallazgo, el primero en el que actuar.
El inicio de sesión de alice con clave desde 192.0.2.10 no genera nada, como debe ser.
En Windows, el motivo de un inicio de sesión fallido (evento 4625) está en su código de estado:
| Estado | Se muestra como | Sugiere |
|---|---|---|
0xC000006A |
Contraseña incorrecta | La cuenta existe; alguien está adivinando su contraseña |
0xC0000064 |
La cuenta de usuario no existe | Se están adivinando nombres de usuario |
0xC0000234 |
Cuenta bloqueada | Se activó el bloqueo |
0xC0000072 |
Cuenta deshabilitada | Intentos sobre una cuenta deshabilitada |
Errores frecuentes
- Pegar unas pocas líneas en lugar del archivo. La detección de formato toma una muestra del archivo; un extracto corto con solo líneas de sshd puede interpretarse como syslog simple, sin el análisis de inicios de sesión. Cargue el registro completo.
- Culpar al propietario de la IP. El tráfico de ataque suele venir de equipos secuestrados, servidores en la nube o VPN. La consulta le indica la red, no la persona.
- Ignorar las direcciones compartidas. Muchos usuarios tras la dirección de una oficina o de un operador móvil pueden parecer un único origen.
- Mezclar zonas horarias. Syslog registra la hora local sin zona, mientras que
.evtxregistra UTC. Conozca la zona de cada sistema antes de leer una línea de tiempo fusionada. - Pasar por alto las señales discretas. Un registro de Seguridad borrado (evento 1102) o un hueco en un registro por lo demás muy activo puede importar más que mil fallos.
Para ir más lejos
Los fallos repetidos desde muchas direcciones contra una sola cuenta indican que está siendo objetivo de un ataque: protéjala con la autenticación multifactor aunque ningún intento haya tenido éxito. Los inicios de sesión exitosos inusuales, las cuentas nuevas (evento 4720) y los servicios nuevos (evento 7045) merecen una mirada en la misma línea de tiempo.