Logs

This content is not available in your language yet.

7.2 Auditoría y Logs en Linux

Introducción

En cualquier sistema Linux en producción, los logs son la principal fuente de verdad. Cuando algo falla —ya sea un servicio, una conexión o un intento de intrusión— la única forma fiable de entender qué ha ocurrido es a través de los registros generados por el sistema.

La auditoría y análisis de logs no es solo una tarea reactiva: es una disciplina crítica para la seguridad, cumplimiento normativo, diagnóstico y observabilidad. Un Sysadmin senior no solo lee logs, sino que los centraliza, correlaciona y los convierte en información accionable.

Objetivos de aprendizaje

Al finalizar este capítulo serás capaz de:

Entender cómo Linux genera y gestiona logs.
Utilizar journalctl para analizar eventos del sistema.
Localizar logs tradicionales en /var/log.
Diagnosticar problemas mediante logs.
Implementar auditoría básica del sistema.
Identificar eventos de seguridad relevantes.

Conceptos Teóricos

1. ¿Qué es un log?

Un log es un registro cronológico de eventos generados por:

el kernel
servicios (nginx, ssh, etc.)
aplicaciones
usuarios

Ejemplo:

May 20 12:00:01 server sshdFailed password for root from 10.0.0.5

2. systemd-journald

En sistemas modernos, los logs se gestionan mediante:

systemd-journald

Ventajas:

centralización
indexación
filtrado avanzado
persistencia opcional

3. Logs tradicionales

Ubicación:

/var/log/

Archivos importantes:

/var/log/syslog → eventos generales
/var/log/auth.log → autenticación
/var/log/kern.log → kernel
/var/log/nginx/access.log → acceso web

4. journalctl

Herramienta principal para consultar logs en systemd:

journalctl

Permite:

filtrar por servicio
buscar por fecha
seguir logs en tiempo real

5. Rotación de logs

Para evitar llenar el disco:

herramienta: logrotate

Config:

/etc/logrotate.conf
/etc/logrotate.d/

6. Auditoría vs Logging

Logging: registro de eventos
Auditoría: análisis orientado a seguridad y trazabilidad

Laboratorio Práctico

Escenario

Un servicio web (nginx) falla intermitentemente. Necesitas:

analizar logs
identificar la causa
detectar posibles accesos sospechosos

Paso 1: Ver logs del sistema

journalctl -xe

Explicación

-x → contexto adicional
-e → ir al final

Paso 2: Filtrar por servicio

journalctl -u nginx

Paso 3: Tiempo real

journalctl -u nginx -f

Paso 4: Filtrado por tiempo

journalctl --since "1 hour ago"

Ejemplo:

journalctl --since "2026-05-20 10:00:00"

Paso 5: Revisar logs tradicionales

cat /var/log/nginx/error.log

Paso 6: Monitorización en vivo

tail -f /var/log/nginx/access.log

Paso 7: Buscar errores específicos

grep "error" /var/log/nginx/error.log

Paso 8: Аналizar accesos SSH

cat /var/log/auth.log | grep ssh

Paso 9: Identificar intentos fallidos

grep "Failed password" /var/log/auth.log

Paso 10: Uso de logrotate

Ver configuración:

cat /etc/logrotate.conf

Errores Comunes y Troubleshooting

1. Logs no persistentes

Por defecto, journald puede no guardar logs tras reinicio.

Solución:

Editar:

sudo nano /etc/systemd/journald.conf

Storage=persistent

2. Disco lleno por logs

Ver uso:

du -sh /var/log

Limpiar:

journalctl --vacuum-time=7d

3. No aparecen logs de servicio

Verificar:

systemctl status servicio

4. Logs rotados no accesibles

ls /var/log/*.gz

Leer:

zcat archivo.log.gz

5. Permisos insuficientes

Muchos logs requieren root:

sudo journalctl

Buenas Prácticas (Nivel Senior)

1. Centralización de logs

Usar:

ELK Stack (Elasticsearch, Logstash, Kibana)
Graylog

2. Política de retención

Ejemplo:

logs críticos → 90 días
logs normales → 30 días

3. Monitorización proactiva

Ejemplo:

grep -i error /var/log/syslog

Automatizar alertas.

4. Seguridad

Monitorizar:

Failed password
Invalid user
Accepted password

5. Evitar saturación

Configurar límites:

SystemMaxUse=500M

6. Logs estructurados

Preferir aplicaciones que generen JSON logs.

7. Auditoría avanzada (auditd)

Instalar:

sudo apt install auditd

Ejemplo:

auditctl -w /etc/passwd -p wa

8. Correlación de eventos

No analizar logs de forma aislada:

correlacionar red + sistema + app

Resumen y Siguiente Paso

Has aprendido a gestionar, analizar y auditar logs en Linux, utilizando tanto journald como logs tradicionales. Ahora puedes diagnosticar problemas complejos, detectar incidentes de seguridad y optimizar el almacenamiento de registros.

Este conocimiento es esencial para cualquier Sysadmin en producción.

El siguiente paso es entrar en uno de los sistemas de seguridad más potentes (y complejos) de Linux:

➡️ 7.3 SELinux y AppArmor, donde aprenderás a controlar el acceso a nivel de políticas de seguridad obligatorias (MAC).