Auditoría y Análisis: Gestión de Logs y Exportación (Log Sinks)

Autor: Eduardo Martínez Agrelo

En Google Cloud, cada acción deja una huella. Desde un usuario que borra una VM hasta una aplicación que lanza un error 500. Cloud Logging es el servicio encargado de capturar, almacenar y permitir la consulta de estos registros. Sin embargo, los logs no se guardan para siempre por defecto, y consultarlos manualmente en la consola no es escalable para auditorías complejas. En el examen Associate Cloud Engineer, es fundamental saber cómo filtrar y exportar estos datos a sistemas de almacenamiento externo. En este ejercicio, aprenderemos a crear "tuberías" de datos llamadas Log Sinks.

Retención de Registros: El Tiempo es Dinero

Un concepto crítico de examen es entender cuánto tiempo guarda Google tus logs antes de borrarlos automáticamente:

• Logs de Auditoría de Actividad Administrativa: Se guardan por 400 días (gratuitos).
• Logs de Acceso a Datos y Logs de Aplicación: Se guardan por defecto solo 30 días.

Si tu empresa necesita cumplir con una normativa legal que exige guardar registros por 5 años, o si quieres usar SQL para analizar errores históricos, la retención por defecto no es suficiente. Aquí es donde entra la exportación.

Log Router y Sinks: Las Tuberías de Logs

El Log Router (Enrutador de registros) es el cerebro que decide qué hacer con cada log que entra al sistema. Mediante un Log Sink (Sumidero), podemos filtrar logs específicos y enviarlos a un destino externo:

• Cloud Storage: Para almacenamiento a largo plazo y bajo coste (cumplimiento legal/archivos).
• BigQuery: Para análisis avanzado. Permite usar SQL para buscar patrones de error o comportamientos de usuarios.
• Pub/Sub: Para enviar logs en tiempo real a sistemas externos (como un SIEM tipo Splunk o QRadar) o para disparar Cloud Functions.
• Cloud Logging Bucket: Para guardar logs en otras regiones o por periodos personalizados dentro del mismo servicio.

Tipos de Logs de Auditoría (Cloud Audit Logs)

Para la certificación, debes distinguir entre los cuatro tipos de logs de auditoría:

1. Admin Activity: Registros de escrituras que cambian la configuración o los recursos. Siempre activos.
2. Data Access: Registros de lecturas de datos (ej. quién leyó este objeto de Storage). Están desactivados por defecto porque generan un volumen masivo de datos y tienen coste.
3. System Event: Registros de acciones automáticas de Google (ej. mantenimiento de una VM).
4. Policy Denied: Registros de intentos de acceso bloqueados por políticas de seguridad o IAM.

La Práctica con gcloud logging

En este ejercicio, utilizaremos la línea de comandos para crear un Sink. Aprenderás a escribir un filtro de logs (ej. severity>=ERROR) y a dirigir ese flujo hacia el dataset de BigQuery que creamos en módulos anteriores. Esto te permitirá tener un cuadro de mando de errores persistente y consultable.

Conclusión: Transparencia y Cumplimiento

Al finalizar este ejercicio, habrás dominado el flujo de información de diagnóstico en la nube. Has aprendido que los logs no son solo texto de depuración, sino activos de seguridad y cumplimiento normativo que deben ser gestionados de forma proactiva mediante exportaciones inteligentes.