En el ámbito de la gestión e inteligencia de registros informáticos, el análisis de registros (o análisis de logs de red y sistemas) es la ciencia y el arte que busca dar sentido a los registros generados por ordenador (también llamados registros de auditoría o audit trails). El proceso de creación de dichos registros se denomina registro de datos o data logging.
Los motivos principales por los que se realiza un análisis de registros son:
Cumplimiento de las políticas de seguridad. Cumplimiento de auditorías o normativas legales. Resolución de problemas del sistema (troubleshooting). Análisis forense (durante investigaciones o en respuesta a un requerimiento judicial). Respuesta ante incidentes de seguridad. Comprensión del comportamiento de los usuarios en línea.
Los registros son emitidos por dispositivos de red, sistemas operativos, aplicaciones y todo tipo de dispositivos inteligentes o programables. Un flujo de mensajes en secuencia temporal suele conformar un registro o log. Estos pueden dirigirse a archivos almacenados en disco o enviarse como un flujo de red a un recolector de registros.
Normalmente, los mensajes de registro deben interpretarse en relación con el estado interno de su fuente (por ejemplo, una aplicación) e informar sobre eventos relevantes para la seguridad o las operaciones (como el inicio de sesión de un usuario o un error del sistema).
A menudo, los desarrolladores de software crean registros para ayudar en la depuración de una aplicación o para comprender cómo interactúan los usuarios con un sistema, como un motor de búsqueda. La sintaxis y la semántica de los datos dentro de los mensajes de registro suelen ser específicas de la aplicación o del fabricante. La terminología también puede variar; por ejemplo, la autenticación de un usuario puede describirse como log in, logon, conexión de usuario o evento de autenticación. Por tanto, el análisis de registros debe interpretar los mensajes dentro del contexto de una aplicación, fabricante, sistema o configuración para realizar comparaciones útiles entre diferentes fuentes.
El formato o el contenido de los mensajes de registro no siempre está totalmente documentado. Una de las tareas del analista de registros es inducir al sistema a emitir toda la gama de mensajes posibles para comprender el dominio completo desde el cual deben interpretarse dichos mensajes.
Un analista puede mapear la terminología variable de diferentes fuentes en una terminología uniforme y normalizada, de modo que se puedan obtener informes y estadísticas de un entorno heterogéneo. Por ejemplo, los mensajes de Windows, Unix, cortafuegos de red y bases de datos pueden agregarse en un informe "normalizado" para una auditoría. Los distintos sistemas pueden señalar prioridades de mensaje con vocabularios diferentes, como "error" y "warning" frente a "err", "warn" y "critical".
Por ello, las prácticas de análisis de registros se sitúan en un espectro que va desde la recuperación de texto hasta la ingeniería inversa de software.
Funciones y tecnologías Reconocimiento de patrones: Función de seleccionar mensajes entrantes y compararlos con un libro de patrones para filtrarlos o gestionarlos de distintas formas.
Normalización: Función de convertir partes del mensaje al mismo formato (por ejemplo, un formato de fecha común o una dirección IP normalizada).
Clasificación y etiquetado: Consiste en ordenar los mensajes en diferentes clases o etiquetarlos con palabras clave para su uso posterior (filtrado o visualización).
Análisis de correlación: Tecnología que recolecta mensajes de diferentes sistemas para encontrar todos los que pertenecen a un mismo evento (por ejemplo, mensajes generados por una actividad maliciosa en distintos dispositivos de red, cortafuegos y servidores). Suele estar conectada a sistemas de alerta.
Ignorancia Artificial (Artificial Ignorance): Es un tipo de aprendizaje automático que consiste en descartar las entradas de registro que se sabe que no son interesantes. Es un método para detectar anomalías en un sistema en funcionamiento. En el análisis de logs, esto implica reconocer e ignorar los mensajes regulares y comunes que resultan del funcionamiento normal del sistema. Sin embargo, los mensajes nuevos que no han aparecido antes pueden señalar eventos importantes y deben ser investigados. Además de las anomalías, el algoritmo identificará eventos comunes que no ocurrieron (por ejemplo, una actualización semanal del sistema que falló).
El análisis de registros se compara a menudo con otras herramientas analíticas como la gestión del rendimiento de aplicaciones (APM) y la monitorización de errores. Aunque gran parte de su funcionalidad se solapa, la diferencia radica en el proceso. El APM pone énfasis en el rendimiento y se utiliza sobre todo en entornos de producción, mientras que la monitorización de errores está impulsada por los desarrolladores y se integra en el código mediante bloques de gestión de excepciones.
Véase también
Registrador de datos Logs de servidor Herramientas de análisis web
Referencias
Categoría:Sistemas informáticos