Registros de auditoría de Google Cloud

Cloud Audit Logs escribe cuatro tipos de entrada. Admin Activity registra las llamadas que cambian la configuración o los metadatos de un recurso (crear una máquina, cambiar una política de permisos). System Event registra lo que hacen los sistemas de Google sobre tus recursos, no una persona. Policy Denied registra cuándo un servicio niega el acceso por una política de seguridad. Data Access registra las llamadas que leen la configuración o los metadatos de un recurso y las que leen o escriben datos de usuario.

Admin Activity y System Event están siempre activos y no se pueden apagar. Policy Denied se genera por defecto y no se puede desactivar, aunque se puede excluir con un filtro. Data Access está desactivado por defecto (la excepción es BigQuery) y hay que habilitarlo de forma explícita, porque su volumen es grande.

Una entrada de auditoría lleva en su carga útil, entre otros, authenticationInfo.principalEmail (quién hizo la llamada), requestMetadata.callerIp (desde dónde), serviceName (qué servicio), methodName (qué operación), resourceName (sobre qué recurso) y status (cómo terminó). Si la llamada se hizo con la llave de una cuenta de servicio, authenticationInfo.serviceAccountKeyName dice cuál.

La tabla auditoria_gcp es una muestra de un día con esos campos, más una columna tipo_log que indica el registro de donde sale cada fila. Las operaciones de IAM que crean o cambian identidades quedan en Admin Activity.

Un acceso negado por una política no es un acceso exitoso, pero tampoco es ruido: alguien lo intentó. Las entradas de Policy Denied dicen qué recurso se quiso tocar y con qué identidad. Una sola de esas entradas no prueba intención; varias seguidas contra recursos distintos sí merecen preguntas.

En la muestra hay una fila de ese tipo. Su estado no es OK.

Cloud Logging guarda las entradas en depósitos. Las de Admin Activity y System Event caen en el depósito _Required, que conserva 400 días y no se puede cambiar. Las demás, incluido Data Access, caen por defecto en _Default, que conserva 30 días (en un proyecto se puede configurar). Lo que se necesite más tiempo hay que enviarlo a otro destino con un sumidero o ampliar la retención del depósito.

Esto decide qué se puede investigar. Con la retención por defecto, quién configuró algo hace 200 días se puede ver; quién leyó un archivo hace 50 días, no.

Las cuentas de servicio no duermen: una integración legítima puede generar miles de lecturas. Por eso un analista mira primero cuánto hace una cuenta en cada franja y lo compara con su costumbre, en vez de leer entrada por entrada.

La tabla resumen_lecturas agrega las lecturas de objetos por franja de una hora. Suma las de una misma cuenta de servicio para conocer su total del día.