Syslog (abreviatura de “system logging protocol”) es una forma estándar en que los dispositivos, las aplicaciones y los sistemas envían pequeños mensajes (“logs”) a un servidor de registro. Estos logs pueden incluir desde errores de aplicaciones y actualizaciones de software hasta advertencias sobre comportamiento sospechoso.

Por ejemplo, tu router, firewall, servidores e incluso impresoras se comunican con un servidor syslog. Cada uno envía mensajes sobre lo que está pasando, y tu servidor syslog recopila todo. Así ves el panorama completo sin tener que pedirle a cada dispositivo una actualización de estado.

¿Por qué los actores de amenazas odian syslog?

Porque syslog arruina tres de sus cosas favoritas:

1. Sigilo. El registro centralizado y de solo anexión hace que sus acciones se copien fuera del equipo comprometido; aunque borren los registros locales, el rastro sigue existiendo en el servidor syslog.
2. Control de la narrativa. Las marcas de tiempo, las fuentes y los niveles de severidad de syslog dan a los defensores una línea de tiempo coherente que es difícil de falsificar sin comprometer también el propio flujo de registro.
3. Evasión de alertas. Las herramientas modernas del SOC (SIEM/XDR/ITDR) basan muchísimas detecciones y reglas de correlación en eventos de syslog; si el registro funciona bien, es mucho más probable que un comportamiento ruidoso del atacante (fallas de autenticación, caídas de servicios, cambios de configuración, etc.) active alguna alerta.