¿Cómo encuentro y abro los archivos de registro de IIS?

De forma predeterminada, busca en C:\inetpub\logs\LogFiles\*. Ábrelos con el Bloc de notas, una hoja de cálculo o un visor de registros dedicado.

¿Por cuánto tiempo debo conservar los registros de IIS?

Sigue las necesidades de cumplimiento de tu organización. Muchos estándares (PCI DSS, HIPAA, etc.) exigen 90 días o más. Configura copias de seguridad y eliminación automatizadas como parte de tu política de retención.

¿Qué pasa si no reviso mis registros de IIS?

Te pierdes señales de ataque, pierdes datos forenses clave y podrías enfrentar sanciones por incumplimiento. El monitoreo automatizado ayuda, pero la revisión humana sigue siendo invaluable.

Qué son los registros de IIS y por qué los profesionales de ciberseguridad deben prestarles atención

Escrito por: Lizzie Danielson

Publicado: 3/10/2025

Los registros de IIS son archivos de texto que registran cada solicitud hecha a el servidor web que ejecuta Internet Information Services (IIS). Registran quién hizo qué, cuándo y cómo en tu sitio.

Para cualquier persona en ciberseguridad, estos registros son oro puro para detectar amenazas, resolver problemas y perfeccionar las defensas.

Los registros de servidor web suenan aburridos, ¿cierto? Pero espera. Si tu tarea es mantener tus redes seguras, ignorar los registros de IIS es como sellar tu bóveda pero dejar las llaves sobre el mostrador. Estos registros tan detallados no son solo para administradores de TI; son una herramienta esencial para la detección, el análisis forense y la higiene cibernética continua.

Este blog responde “qué son los registros de IIS” en términos sencillos, te muestra “cómo leer los registros de IIS,” detalla dónde encontrarlos, qué datos capturan, y comparte las mejores prácticas de gestión de registros segura. Ya sea que te estés preparando para un examen, mejorando tu análisis en el trabajo o lanzando tu primer tutorial de registros de IIS para el equipo, esta guía de glosario lo explica para todos los niveles de habilidad.

¿Qué son los registros de IIS?

Los registros de IIS son registros creados por el software de servidor web Internet Information Services (IIS) de Microsoft. Cada vez que un navegador o un bot visita un sitio web con IIS, el servidor registra una entrada de esa solicitud. Este registro es un recibo detallado de quién visitó, qué solicitó, cuándo ocurrió y cómo sucedió todo. Obtén más información sobre los registros de servidor.

¿Por qué importa? Estos registros forman una línea de tiempo de cada acción realizada en el servidor. Para los profesionales de ciberseguridad, son ricos en evidencia forense para investigar brechas, detectar actividad no autorizada y cumplir con los requisitos de cumplimiento normativo.

Propósito e importancia

Detección de incidentes: Los primeros indicios de un compromiso se esconden entre el ruido. Los registros de IIS pueden señalar intentos de fuerza bruta, URL extrañas o IP desconocidas atacando tu página de inicio de sesión.
Forense: El análisis posterior a una brecha consiste en reconstruir quién hizo qué. Los registros de IIS permiten a los investigadores crear un mapa minuto a minuto de las acciones del adversario.
Rendimiento y resolución de problemas: No todos los eventos de registro significan un ataque. Los registros de IIS son vitales para rastrear errores 404, problemas de latencia o solicitudes fallidas.
Cumplimiento normativo: Muchas regulaciones exigen almacenar los registros del servidor web durante un período determinado, por lo que una política de retención es indispensable.

En resumen: Los registros de IIS tienen un papel protagónico tanto en la ofensiva (detección) como en la defensa (análisis).

Formato y campos de los registros de IIS

El formato de los registros de IIS importa mucho. El más común es el formato de archivo de registro extendido W3C. Es personalizable, así que puedes decidir qué campos se registran.

Campos comunes incluyen:

date y time: Cuándo ocurrió cada solicitud.
c-ip: La dirección IP del cliente (quién se conectó).
cs-username: Nombre de usuario autenticado, si existe.
s-ip: La propia IP del servidor IIS.
s-port: Número de puerto usado.
cs-method: Método HTTP (GET, POST, etc.).
cs-uri-stem: Recurso solicitado (p. ej., /index.html).
sc-status: Código de respuesta HTTP (200, 404, 500, etc.).
sc-bytes y cs-bytes: Bytes enviados/recibidos.
cs(User-Agent): Detalle del navegador o cliente.

¿Ves todo lo que puedes capturar? Es una enorme cantidad de datos accionables. Encuentra la hoja de referencia de campos (con explicaciones):

Ejemplo de entrada de registro de IIS:

2024-07-20 12:10:15 192.168.2.23 GET /admin 404 0 2 265 101 Mozilla/5.0

Esta línea indica que un cliente intentó acceder a "/admin" en un momento específico, pero recibió un 404.

Consejo profesional: Se pueden agregar campos de registro personalizados para un monitoreo aún más profundo, como el seguimiento de encabezados para tokens de seguridad.

Ubicación de los registros de IIS

Rutas predeterminadas:

En servidores Windows, los archivos de registro suelen encontrarse en

C:\inetpub\logs\LogFiles\W3SVC#

(donde "#" coincide con el ID del sitio de IIS)

Ubicaciones personalizadas:

Puedes elegir un directorio diferente al configurar los ajustes de registro.

Útil si usas un SIEM o quieres los registros en una unidad con más espacio.

Entornos de cloud / Azure:

Los registros de IIS pueden enviarse a Azure Blob Storage

Cómo habilitar el registro de IIS

Abre IIS Manager en tu servidor
Selecciona el sitio web o el nodo del servidor en el árbol
Haz doble clic en el ícono de Logging en la vista de funciones
Elige el formato de los archivos de registro (se recomienda W3C)
Selecciona qué campos capturar (consejo: por lo general, más es mejor para la seguridad)
Selecciona el directorio de los archivos de registro
Define cada cuánto se rotan los nuevos archivos de registro (diario, semanal, por tamaño)
Haz clic en Apply para guardar

¡Eso es todo! Tus registros ya están rotando. Extra: ¿Quieres ayuda para automatizar este proceso? Los scripts de PowerShell pueden habilitar el registro de forma masiva en varios sitios.

Tutorial de registros de IIS y consejos de lectura

¿Cómo lees registros de IIS sin que se te crucen los ojos?

Ábrelos en una hoja de cálculo para ordenar columnas fácilmente.
Usa un visor de registros de IIS diseñado para esto (muchos son gratuitos o de código abierto).
Para usuarios avanzados, herramientas como Microsoft Log Parser (analizador sintáctico) o Sumo Logic facilitan analizar los registros a fondo.
Rastrea eventos específicos (por ejemplo, errores 404, inicios de sesión fallidos) filtrando con herramientas de búsqueda o scripts.

Casos de uso comunes para principiantes

Cuenta la cantidad de errores 500 en un rango de tiempo
Detecta intentos de inicio de sesión desde ubicaciones geográficas inusuales
Marca cambios en las cadenas de user-agent (por ejemplo, tráfico de Bot)
Rastrea qué más hizo un atacante durante un incidente

Herramientas de análisis y visores de registros de IIS

No sufras con el Bloc de notas para siempre. Aquí tienes herramientas probadas para profundizar en los registros:

Microsoft Log Parser: Herramienta clásica, un analizador sintáctico para consultar registros con una sintaxis similar a SQL.
OpenObserve: Centraliza y visualiza registros, agrega alertas y facilita la búsqueda de señales de seguridad. Ideal para equipos.
Sumo Logic y Splunk: Ofrecen análisis al estilo SIEM, agregación y alertas en tiempo real.
PowerShell: Para los fanáticos de la automatización.
Visores de registros de código abierto: Algunos, como LogExpert o LogViewPlus, muestran los registros en tiempo real.
Opciones nativas de Azure: Log Analytics y Azure Monitor pueden ingerir registros de IIS.

Pruébalas y descubre cuál funciona mejor para tu stack y tus objetivos de seguridad.

Gestión, retención y mejores prácticas para registros de IIS

No esperes a que tu carpeta de registros se coma toda la unidad C.

Aquí tienes lo esencial para mantener tus registros útiles (y legales):

Política de retención: Establece una política de cuánto tiempo conservar los registros (a menudo de 90 días a varios años, según el cumplimiento normativo). El archivado regular es bueno; acumularlos para siempre, no.
Copias de seguridad regulares: Protege los registros contra pérdida o manipulación.
Archivado automatizado: Mueve los registros antiguos a un lugar seguro o a almacenamiento en la cloud.
Actualiza con frecuencia: Las nuevas versiones de IIS suelen tener mejores funciones de registro y seguridad.
Supervisa el crecimiento excesivo: Configura alertas automáticas si el espacio en disco empieza a escasear.

Para entornos de alta seguridad, restringe el acceso a los registros y habilita el almacenamiento inmutable (de solo escritura).

Análisis forense y monitoreo de registros de IIS

Cuando ocurre un incidente, tus registros de IIS se convierten en una escena del crimen digital.

Flujo de trabajo forense, simplificado :

Extrae todos los registros del período relevante (y las copias de seguridad).
Busca solicitudes sospechosas (URL extrañas, intentos de acceso al panel de administración, POST inesperados).
Cruza las cadenas de user-agent, las direcciones IP y las marcas de tiempo.
Busca inicios de sesión fallidos, escaladas de privilegios o solicitudes muy rápidas.

Para monitoreo en tiempo real, configura alertas (por ejemplo, “más de 20 inicios de sesión fallidos en 5 minutos”) con un SIEM.

Lista de verificación útil:

¿Se están escribiendo y almacenando los registros de forma segura?
¿Es auditable el acceso a los registros?
¿Puedes vincular los registros de IIS con los registros de eventos de Windows y los registros del firewall?

Los estándares de ciberseguridad (NIST, CIS Controls) exigen un registro sólido y una revisión periódica. Aquí tienes más información de las mejores prácticas de CISA.

Conclusiones clave para los equipos de ciberseguridad

Empodera a tu equipo y mantente al día con los últimos marcos de registro en ciberseguridad.

Los registros de IIS son esenciales para el monitoreo de seguridad, la respuesta a incidentes y el cumplimiento normativo.
La configuración y retención adecuada de registros no es algo que se configura y se olvida: revísala con regularidad.
Invierte en herramientas de análisis y automatización para detectar ataques más rápido.
No trates los registros como papeleo aburrido. Son los ojos y oídos de tu operación de seguridad web.
Mantente al día con las mejores prácticas de registro y las nuevas funciones de IIS para fortalecer tus defensas.

Preguntas frecuentes

Los registros de IIS se usan para monitorear el tráfico, detectar el acceso no autorizado, investigar incidentes y cumplir con los requisitos de reporte.

Son una fuente principal para la caza de amenazas y el análisis forense.

De forma predeterminada, busca en C:\inetpub\logs\LogFiles\*.

Ábrelos con el Bloc de notas, una hoja de cálculo o un visor de registros dedicado.

¡Activa tantos como sea posible! Campos estándar más IP del cliente, método, URI, código de respuesta, agente de usuario y referente.

Elige el formato W3C Extended y personalízalo según tus necesidades.

Sigue las necesidades de cumplimiento de tu organización. Muchos estándares (PCI DSS, HIPAA, etc.) exigen 90 días o más.

Configura copias de seguridad y eliminación automatizadas como parte de tu política de retención.

Te pierdes señales de ataque, pierdes datos forenses clave y podrías enfrentar sanciones por incumplimiento.

El monitoreo automatizado ayuda, pero la revisión humana sigue siendo invaluable.

Recursos adicionales

El volcado de datos de una base de datos frente a los datos ficticios

Ciberseguridad 101

Descubre qué es el volcado de datos, por qué los cibercriminales lo buscan y cómo proteger tus volcados de base de datos de las amenazas de seguridad. Guía esencial para profesionales de TI.

Ciberseguridad 101

Descubre qué hace un director de seguridad, su rol en evolución dentro de la ciberseguridad, las calificaciones necesarias y las oportunidades profesionales en esta guía completa.

Qué es la red de voz sobre IP (VoIP) y por qué importa en ciberseguridad

Ciberseguridad 101

Aprende cómo funcionan las redes de voz sobre IP, su papel en la ciberseguridad y consejos prácticos para proteger la red de voz sobre IP en tu organización.

Protege lo que importa

Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.

Probar Huntress gratis

Qué son los registros de IIS y por qué los profesionales de ciberseguridad deben prestarles atención

Qué son los registros de IIS y por qué los profesionales de ciberseguridad deben prestarles atención

¿Qué son los registros de IIS?

Propósito e importancia