16 Logs

El sistema de registros en Linux no se refiere al proceso de iniciar sesión, sino a la creación y manejo de logs. Los logs son archivos que almacenan eventos importantes que ocurren en el sistema o en aplicaciones mientras se ejecutan. Estos registros son fundamentales para el monitoreo, la solución de problemas y la seguridad del sistema.

¿Qué son los logs?

Los logs contienen información clave sobre eventos como:

• Errores: Problemas en el sistema o aplicaciones.
• Alertas de seguridad: Actividades sospechosas o potencialmente maliciosas.
• Información general: Datos como solicitudes a un servidor web (por ejemplo, logs de Apache).

Son esenciales para rastrear incidentes de seguridad, ya que permiten identificar qué sucedió, cuándo, y en qué parte del sistema ocurrió. Sin embargo, como los atacantes también conocen su importancia, pueden intentar manipular o eliminar logs para ocultar rastros de sus acciones.

RSYSLOG: El sistema de registro de Linux

Linux utiliza un daemon llamado rsyslog, que registra automáticamente los eventos del sistema. Este daemon configura qué información se registra y dónde se almacena.

Explorando el archivo de configuración

El archivo de configuración de rsyslog se encuentra en /etc/rsyslog.conf. Podemos examinarlo utilizando el comando:

find /etc/ -name rsyslog*
vim /etc/rsyslog.conf

Este archivo define:

• Propietarios y permisos de los logs:
  • Archivos con permisos predeterminados de 0640.
  • Directorios con permisos de 0755.
• Reglas de registro: Están formadas por tres partes:
  1. Facility: Indica qué programa genera el log (por ejemplo, auth, cron, mail, kern).
  2. Priority: Define la severidad de los eventos registrados (debug, info, error, etc.).
  3. Action: Especifica dónde se guardarán los registros (por ejemplo, /var/log/messages).

Manejo de espacio para logs

Los logs pueden ocupar mucho espacio, especialmente en sistemas activos. Si no se eliminan periódicamente, el disco podría llenarse, causando problemas. Sin embargo, no se deben eliminar indiscriminadamente, ya que los registros son vitales para investigar incidentes.

Para gestionar el almacenamiento de logs, Linux utiliza logrotate, una herramienta que rota y elimina automáticamente logs antiguos.

Configuración de logrotate

Podemos revisar su archivo de configuración con:

cat /etc/logrotate.conf

Algunas configuraciones importantes incluyen:

• Frecuencia de rotación:
  • Por defecto es semanal (weekly).
  • Se puede ajustar a diario (daily), mensual (monthly), etc.
• Cantidad de archivos a mantener:
  • rotate 4 significa que se mantendrán los últimos 4 registros rotados.

logrotate renombra los archivos antiguos y crea nuevos, facilitando la gestión del espacio en disco.

Eliminar logs de forma segura

Los atacantes pueden intentar borrar o sobrescribir logs para ocultar evidencia. Para ello, Linux ofrece herramientas como shred, que asegura la eliminación segura de archivos al sobrescribirlos múltiples veces.

Uso de shred

El comando sobrescribe archivos con datos aleatorios, haciendo casi imposible su recuperación. Su sintaxis básica es:

shred -f -n 10 /var/log/auth.log.*

• f: Fuerza el cambio de permisos para permitir sobrescritura.
• n: Especifica cuántas veces sobrescribir el archivo.

Deshabilitar temporalmente los logs

Si queremos detener la generación de logs de forma temporal, podemos reiniciar o detener el servicio rsyslog:

service rsyslog stop

Esto puede ser útil en pruebas o tareas de mantenimiento específicas.

Conclusión

El sistema de logs es una herramienta esencial en Linux para monitorear y diagnosticar el estado del sistema y sus aplicaciones. Sin embargo, requiere una gestión adecuada para evitar que los archivos ocupen demasiado espacio o se pierda información crítica. Con herramientas como rsyslog y logrotate, podemos automatizar el manejo de registros y asegurar que el sistema opere de manera eficiente y segura. 🚀