En op.exp.8 ENS: qué exige vimos qué pide la medida. Este artículo es la parte práctica, la que acompaña al vídeo del curso: cómo se enseña en Wazuh que se cumplen los refuerzos R1 a R4 del nivel medio. Hay dos descargables (el dashboard y la plantilla de retención) y, como refuerzo opcional de R4, una guía para crear un usuario de solo lectura.
🔒 Descargables del curso: el dashboard ENS op.exp.8 (.ndjson) y la plantilla de eventos auditados y retención (.docx) están incluidos en la lección del curso de Wazuh. Desbloquéalos con el curso →
¿Qué cubre Wazuh de op.exp.8 y qué no?
Wazuh recolecta y normaliza los registros; el contenido lo genera el sistema de origen. Si un servidor no registra el usuario o el resultado de una acción, Wazuh no lo inventa. Por eso la primera decisión es qué se activa en cada servidor: lo que llega al manager depende de los <localfile> del ossec.conf de cada agente (canales Security y System en Windows, auth.log o secure en Linux, auditd, Sysmon, syslog remoto para NAS y red). Y un agente desconectado es un servidor sin registro, así que la cobertura también se vigila.
Registro de auditoría (op.exp.8 base): un evento real
La medida base pide usuario, fecha y hora, sobre qué información, tipo de evento y resultado. En Discover, abre un evento de inicio de sesión fallido (Windows 4625 o SSH) y comprueba que aparecen:
timestamp: fecha y hora.- Usuario:
data.win.eventdata.targetUserNameen Windows odata.srcuseren Linux. agent.name: sobre qué sistema.rule.description: tipo de evento y resultado.
R1: revisión periódica con un dashboard
La norma habla de revisión informal periódica: basta con mirar un panel con una frecuencia definida (y dejar constancia de que se hace). El dashboard descargable agrupa lo que conviene mirar:
- Agentes desconectados: cobertura, ¿falta algún sistema? (regla 504 de serie).
- Logins correctos vs fallidos en el tiempo, y mapa por origen.
- Top usuarios y top IP origen de fallos de autenticación.
- Privilegios: altas en grupos privilegiados, sudo y cuentas.
- Cambios de hora del sistema (relacionado con R2).
- Manipulación de logs en origen: borrado de logs y cambios de política de auditoría. Complementa R4, pero no es R4 en sentido estricto.
Para importarlo: en el menú del dashboard, Dashboard management → Saved objects → Import, selecciona el fichero ens-opexp8-dashboard.ndjson (incluido en la lección del curso). Es un ejemplo: cada organización lo adapta a su infraestructura y a los servidores de su alcance.
Un panel vacío no significa que no pase nada. Significa que falta una fuente. Antes de interpretar el dashboard, comprueba la lista de abajo.
| Panel | Qué necesita para tener datos |
|---|---|
| Logins en Windows | Canal Security en el agente y política "Auditar inicio de sesión" (éxito y error). Se comprueba con auditpol /get /category:*. |
| Logins y sudo en Linux | /var/log/auth.log (Debian/Ubuntu) o /var/log/secure (RHEL) como <localfile>. |
| Privilegios en Windows | Auditoría de "Uso de privilegios" (4672) y "Administración de grupos de seguridad" (4728). |
| Borrado de logs y política de auditoría | Windows: eventos 1102 y 4719. Linux: FIM (syscheck) sobre /var/log. |
| NAS y red | Syslog remoto hacia el manager, puerto 514 abierto y, si el fabricante no está soportado, decodificadores propios. |
| Todos | NTP correcto en todos los orígenes y en el manager. Sin hora fiable, el orden de los eventos tampoco lo es. |
R2: la hora la sincroniza NTP, Wazuh vigila que nadie la cambie
Wazuh no sincroniza relojes: eso es trabajo de NTP en cada sistema. Lo que sí puede hacer es alertar de que alguien cambie la hora. En Windows se usa el evento 4616 (cambio de hora del sistema), que requiere auditar esa categoría en la política. En Linux se usa auditd con una regla sobre las llamadas que modifican el reloj, leyendo /var/log/audit/audit.log con log_format audit. Es el panel "Cambios de hora" del dashboard.
R3: la retención es un documento, y además hay que cumplirla
R3 no se activa con una opción: es un documento que dice qué eventos se auditan y cuánto tiempo se guardan. La plantilla Word tiene cuatro tablas (Windows, Linux, NAS y plataforma Wazuh) con las columnas: qué se guarda, de qué log sale, tipo, agente o sistema, retención online y retención total.
Los plazos de la plantilla son ejemplos: el ENS no fija un plazo, pide que esté escrito y que se cumpla. Un consejo práctico: empieza este documento al principio de la implantación de Wazuh, no cuando ya esté todo funcionando. Cada vez que añadas un equipo, lo apuntas en ese momento (qué logs recoge, de qué tipo y cuánto se guardan). Reconstruirlo al final, con decenas de agentes, es mucho más difícil y se olvidan cosas.
🔒 Descarga la plantilla Word de eventos auditados y retención (incluida en el curso de Wazuh) →
R4: control de acceso a los registros
R4 pide que los registros y sus copias de seguridad solo los pueda acceder o eliminar personal autorizado. Es decir, hay que proteger el almacén de logs de Wazuh, no los logs de cada endpoint. Cuatro controles, cada uno con su evidencia:
- Roles en Wazuh (opcional): un usuario analista de solo lectura, para que no todo el personal que consulta los logs pueda modificarlos o borrarlos. No es obligatorio para cumplir R4, pero lo refuerza si varias personas acceden a Wazuh. Cómo dar de alta un analista de solo lectura.
- Permisos en disco del manager:
ls -l /var/ossec/logs/alerts /var/ossec/logs/archivesdebe mostrar propietario root:wazuh y sin acceso para otros. - Copias de seguridad y snapshots: el repositorio solo accesible por la cuenta de administración, y saber quién puede borrarlo.
- Quién ha tocado Wazuh: auditoría del propio indexer, del dashboard y de la API.
Wazuh no es inmutable. Un log indexado se puede borrar o modificar con el rol admin del indexer o con root en el manager. Además, un administrador local puede parar el agente o manipular el log antes de que se envíe. El administrador de un servidor no puede reescribir lo que ese servidor ya envió a Wazuh; quien sí puede es quien tenga acceso de administración a Wazuh, y por eso R4 consiste en controlar ese acceso. Refuerzos reales: snapshots en almacenamiento WORM (por ejemplo S3 con Object Lock), reenvío de alertas a un segundo destino, roles separados y auditoría del indexer.
R5: nivel alto
En el nivel alto se exige correlación y respuesta automática. Es el núcleo de Wazuh (reglas que correlacionan eventos y active response), pero queda fuera de este artículo; se trabaja en otras lecciones del curso.
Qué decir (y qué no) en una auditoría
- Esto no hace los logs inmutables. R4 pide controlar quién puede acceder o eliminar los registros.
- Deja el rol de administrador de Wazuh en pocas personas, distintas de quienes administran los servidores.
- Los plazos de la plantilla son ejemplos. Documenta los tuyos y cúmplelos.
Preguntas frecuentes
¿Hace Wazuh que los registros sean inmutables para el ENS?
No. Un log indexado en Wazuh se puede borrar o modificar con el rol de administrador del indexer o con root en el manager. R4 no exige inmutabilidad, exige que los registros y sus copias solo los acceda o elimine personal autorizado. Para inmutabilidad real hay que añadir snapshots en almacenamiento WORM, como S3 con Object Lock.
¿Qué plazo de retención de logs hay que poner en el ENS?
El ENS no fija un plazo universal: pide que el periodo esté definido y documentado, y que se cumpla. Los plazos de la plantilla Word (90 días online y 12 meses totales para autenticación, 180 días y 24 meses para cambios de cuentas y privilegios) son ejemplos que cada organización debe ajustar a su política de seguridad.
¿Un panel vacío en el dashboard significa que no pasa nada?
No: normalmente significa que falta una fuente de datos. Por ejemplo, sin el canal Security en el agente de Windows o sin la política de auditoría de inicio de sesión, no llegarán los eventos 4624 y 4625 y el panel de logins saldrá vacío. Revisa la lista de comprobación antes de interpretar el dashboard.
Artículos relacionados:
- op.exp.8 ENS: Registro de la Actividad, qué exige y cómo cumplirlo
- Usuario de solo lectura en Wazuh: crear un analista (UI y terminal)
- op.exp.3 ENS: Configuración Segura
- Curso de Wazuh en español, con módulo de ENS
Curso de Wazuh
Esta lección, en vídeo y con el laboratorio
El curso incluye la lección de op.exp.8 grabada paso a paso, con la plantilla de retención y el dashboard listos para usar.