Registros de auditoría: qué registrar, cómo mantenerlos íntegros y quién puede leerlos

Qué es

La Logging Cheat Sheet de OWASP (citada) pide que cada entrada registre cuándo, dónde, quién y qué: marcas de tiempo del evento y del log, aplicación y host, la identidad del usuario o máquina que actúa y su dirección de origen, el tipo de evento, el objeto afectado, el resultado y el motivo. Su lista de eventos que siempre deben registrarse incluye éxitos y fallos de autenticación, fallos de autorización, acciones de administración de usuarios, uso de privilegios administrativos, acceso a datos sensibles, uso y rotación de claves, y cambios de configuración. Un registro de auditoría es el subconjunto de esto que documenta acciones realizadas en nombre de un principal, conservado como registro y no como salida de resolución de problemas.

Por qué importa

Un registro de auditoría solo vale algo si es completo para las acciones que importan y no puede ser editado silenciosamente por la persona cuyas acciones registra. La propia lista de ataques a los logs de la hoja de referencia incluye a un atacante que impide las escrituras o daña el log para cubrir su rastro, y que hace que se registre la identidad equivocada para ocultar a la parte responsable.

Cómo aplicarlo

• Emitir eventos de auditoría desde la capa de aplicación, donde se conocen el principal y el objeto, como registros estructurados con un esquema estable: actor, tipo de actor, acción, tipo e id del objeto, resultado, motivo, id de solicitud, marca de tiempo en UTC.
• Registrar el actor como un identificador, no como un nombre visible, e incluir explícitamente la suplantación («el administrador X actuando como el usuario Y»).
• No escribir identificadores de sesión, tokens de acceso, contraseñas, claves ni datos personales completos; la hoja de referencia los incluye entre los datos que hay que excluir o enmascarar.
• Enviar las entradas con prontitud a un almacenamiento que la aplicación no pueda alterar: una tabla de solo anexado bajo un rol de base de datos de solo escritura, o almacenamiento de objetos con bloqueo de retención. Amazon S3 Object Lock (citado) describe un modelo de escritura única y lectura múltiple cuyo modo de cumplimiento impide la sobrescritura o eliminación por parte de cualquier usuario durante el período de retención.
• Añadir evidencia de manipulación, por ejemplo una cadena de hashes o resúmenes firmados periódicos, y verificarla según un calendario.
• Restringir el acceso de lectura a un grupo con nombre, registrar cada lectura, y revisar periódicamente la lista de privilegios, como pide la hoja de referencia.
• Definir la retención de antemano y eliminar según un calendario; conservar datos de auditoría más allá de su propósito es en sí mismo un pasivo.

Trampas

Mezclar registros de auditoría con logs de aplicación que rotan cada semana. Registrar la intención («se solicitó eliminar») pero no el resultado. Mensajes en texto libre que no se pueden consultar. Confiar en un id de usuario proporcionado por el cliente dentro del evento. Un log inmutable que nadie lee jamás hasta que ocurre el incidente.