Grabación y auditoría de sesiones privilegiadas

Hay dos clases de rastro. El registro de sesiones es una fila por sesión: cuenta usada, persona que la abrió, destino, hora de inicio y de fin, ticket. Responde «quién entró, a qué y cuándo». La grabación o el registro detallado de la sesión conserva lo que ocurrió dentro: los comandos tecleados o las pantallas, evento por evento. Responde «qué hizo». Con el primero se sabe que alguien estuvo; con el segundo, qué cambió.

Cuando la cuenta es compartida, el registro de sesiones es lo único que vuelve a ligar el acto con una persona, porque en los registros del sistema destino solo aparecería el nombre de la cuenta.

La regla de Pagua es que toda sesión privilegiada lleva un ticket que explique para qué se abrió. Lee sesiones_privilegiadas y busca la fila que no tiene ticket. Que una sesión sea posible sin ticket ya es un hallazgo; que además sea a medianoche pide mirar qué ocurrió dentro.

La otra mitad de la regla es la grabación: la columna grabacion dice si la sesión quedó registrada con detalle. Una sesión con ticket y sin grabación cumple el papel y no deja evidencia de lo que se hizo.

La sesión sin ticket sí quedó grabada, así que se puede leer. Consulta eventos_sesion y mira qué hizo quien la abrió. En un directorio, cambiar la pertenencia a un grupo de administradores es de los pocos actos que un auditor quiere ver explicados con un ticket y una aprobación.

Mide el tiempo entre la hora de inicio de la sesión, en sesiones_privilegiadas, y la hora del evento que añadió la cuenta al grupo, en eventos_sesion. Reconstruir la secuencia con horas exactas es lo que convierte un rastro en una línea de tiempo que otra persona puede revisar.