El registro lejos de quien lo genera

El principio es de separación de funciones aplicado al registro. La persona o el servicio que genera el evento no debería poder alterar ni borrar su rastro. De lo contrario, la cuenta con más poder sobre un sistema, que es la que más interesa a un atacante, podría limpiar la evidencia de lo que hizo.

El control 8.15 de ISO/IEC 27002:2022 pide proteger los registros contra la alteración y el acceso no autorizado, y precisa que eso incluye a quienes tienen privilegios. Para el diseño significa un almacén aparte, con permisos distintos y un camino de escritura de una sola dirección.

Abre destinos y roles. La auditoría de la base de datos de pólizas se guarda en una tabla dentro de la misma base de datos que audita. Quien administra la base puede leer, escribir y borrar esa tabla: la auditoría protege contra todos menos contra la persona con más poder, que es quien más importa.

Consulta quién tiene permiso sobre ese almacén y escribe el rol que puede borrar la auditoría de su propia base.

Un registro necesita una hora fiable. Si un sistema toma la hora de su reloj local, sus eventos aparecen desplazados respecto de los demás y la reconstrucción de un incidente se rompe: la causa parece ocurrir después del efecto. El control 8.17 de ISO/IEC 27002:2022 pide sincronizar los relojes con fuentes de hora aprobadas.

La tabla relojes dice de dónde toma la hora cada sistema y cuántos segundos se aparta. Una diferencia de unos segundos es tolerable para correlacionar; una de minutos no.

El registro de la API se queda en el disco del servidor, y la cuenta que administra ese servidor puede borrarlo. Hay respuestas caras, como replicar el servidor entero a otra región, y una barata: enviar el registro en tiempo real a un destino central con una cuenta que solo puede escribir, de modo que el servidor no pueda borrar lo que ya envió.

El diseño correcto da al generador un camino de escritura y no uno de lectura ni de borrado.