{"id":1158,"date":"2026-07-28T19:34:25","date_gmt":"2026-07-28T17:34:25","guid":{"rendered":"https:\/\/www.go2bsecure.com\/?p=1158"},"modified":"2026-07-28T19:34:25","modified_gmt":"2026-07-28T17:34:25","slug":"registros-smf-zos-auditoria-soc","status":"publish","type":"post","link":"https:\/\/www.go2bsecure.com\/es\/blog\/registros-smf-zos-auditoria-soc\/","title":{"rendered":"Registros SMF en z\/OS: la columna vertebral del rastro de auditor\u00eda de tu SOC"},"content":{"rendered":"\r\n\r\nSin SMF no hay SOC en el mainframe. As\u00ed de simple y as\u00ed de grave.<\/i>\r\n\r\nCuando un equipo de seguridad decide extender la cobertura de su SOC al mainframe<\/b> IBM Z, la primera pregunta no es qu\u00e9 herramienta instalar, sino de d\u00f3nde proviene la telemetr\u00eda. En entornos Windows o Linux, la respuesta es sencilla: logs de eventos, syslog, auditd y agentes EDR. En ciberseguridad mainframe,<\/b> la respuesta tiene nombre propio: System Management Facility<\/b>, conocida universalmente como SMF.\r\n\r\nLos registros SMF<\/b> son el mecanismo nativo de z\/OS para registrar la actividad del sistema, y llevan haci\u00e9ndolo desde los a\u00f1os setenta, mucho antes de que existiera el concepto de SIEM. Todo lo que ocurre en un mainframe \u2014qui\u00e9n inicia sesi\u00f3n, qu\u00e9 datasets abre, qu\u00e9 trabajos lanza, qu\u00e9 perfiles de seguridad modifica, qu\u00e9 conexiones TCP establece\u2014 queda reflejado en los registros SMF. Si no est\u00e1 en SMF, a efectos de auditor\u00eda no ocurri\u00f3.\u00a0Este art\u00edculo explica qu\u00e9 son, cu\u00e1les son cr\u00edticos para la\u00a0<\/span>seguridad de z\/OS<\/strong>, qu\u00e9 riesgos surgen cuando no se gestionan bien y c\u00f3mo el\u00a0<\/span>an\u00e1lisis de registros SMF<\/strong> se convierte en inteligencia accionable para el SOC.<\/span>\r\n

Qu\u00e9 es SMF y c\u00f3mo funciona<\/h2>\r\nSMF es un subsistema de z\/OS que act\u00faa como notario del sistema. Cuando ocurre un evento relevante \u2014un trabajo batch que termina, un usuario que accede a un dataset protegido, un perfil de RACF que cambia\u2014 el componente correspondiente de z\/OS escribe un registro SMF con los detalles del evento.\r\n\r\nEstos registros se identifican por un tipo num\u00e9rico<\/b> (SMF record type), numerado del 0 al 255, que indica qu\u00e9 subsistema los gener\u00f3 y qu\u00e9 informaci\u00f3n contienen. IBM reserva los tipos 0 a 127 para el sistema operativo y sus subsistemas, y deja los tipos 128 a 255 para productos de terceros. En total hay m\u00e1s de un centenar de tipos definidos por IBM, cada uno con sus propios subtipos.\r\n\r\nLos registros se escriben en tiempo real.\u00a0Tradicionalmente, se almacenan en unos datasets especiales llamados\u00a0SMF datasets<\/strong>\u00a0(denominados SYS1.MANx); en las instalaciones modernas tambi\u00e9n pueden dirigirse a los\u00a0log streams<\/strong> del System Logger.<\/span>\u00a0Cuando un dataset se llena, z\/OS conmuta autom\u00e1ticamente al siguiente. El proceso de vaciado y archivo \u2014realizado por la utilidad IFASMFDP<\/b> (o IFASMFDL<\/b> cuando se usan log streams), que muchos equipos llaman coloquialmente \u00abSMF dump\u00bb\u2014 es cr\u00edtico: si falla, los registros m\u00e1s antiguos se sobreescriben y la evidencia se pierde para siempre.\r\n\r\nEste detalle operativo tiene implicaciones de cumplimiento directas. DORA, NIS2 y PCI DSS exigen que los registros de auditor\u00eda se conserven durante periodos determinados. Si el proceso de SMF dump no est\u00e1 correctamente configurado y supervisado, la organizaci\u00f3n puede perder evidencia sin siquiera saberlo.\r\n

An\u00e1lisis de registros SMF: los tipos cr\u00edticos para el SOC<\/h2>\r\nNo todos los registros SMF son igualmente relevantes para la seguridad.\u00a0Estos son los que cualquier estrategia de\u00a0<\/span>monitorizaci\u00f3n de la seguridad de mainframe<\/strong> debe conocer y vigilar.<\/span>\r\n

Tipos 80 y 83: el coraz\u00f3n del audit trail de seguridad<\/h3>\r\nEl tipo 80<\/b> es el registro m\u00e1s importante para cualquier auditor o analista de seguridad. Lo genera el External Security Manager \u2014RACF, ACF2 o TopSecret\u2014 y captura todos los eventos de seguridad del sistema:\r\n