Los logs estaban. Nadie los miraba.

Después de un incidente, la pregunta es siempre la misma: ¿por dónde entraron y qué se llevaron?

Y la respuesta, muchas veces, es que no se puede saber. Porque los registros no se guardaban, o se guardaban siete días, o estaban en el mismo servidor que se cifró.

Sin registros no hay investigación. Y sin investigación no sabés si cerraste la puerta o si el atacante sigue adentro esperando.

Lo que hay que resolver, en orden:

• Centralizar. Los registros salen del equipo que los genera y se guardan en otro lado, con acceso restringido. Si el atacante puede borrarlos, no sirven.
• Retención razonable. Muchas intrusiones se descubren meses después de ocurridas; siete días de retención es no tener nada.
• Cubrir lo que importa: autenticación, firewall, VPN, servidores críticos, correo y los sistemas de negocio.
• Y lo más importante: definir casos de uso. Un SIEM sin reglas es un depósito caro de texto. Empezá con pocas y buenas: acceso exitoso desde un país inesperado, creación de un usuario administrador, borrado masivo de archivos, apagado del antivirus, muchos fallos seguidos y después uno exitoso.
• Alguien que las mire. Puede ser tu equipo o un servicio; lo que no puede es nadie.

Herramientas libres como Wazuh permiten armar esto con costo de licencia cero. El trabajo está en definir qué buscar y sostener la revisión.