Auditoría de accesos al gestor

El gestor puede tener uno o varios dispositivos de auditoría: un archivo, un socket, el registro del sistema. Cada petición se escribe en ellos antes de responder. Si hay dispositivos habilitados y ninguno puede escribir, el gestor se niega a atender la petición: en la práctica, deja de estar disponible. La recomendación de la documentación es tener al menos dos dispositivos, de modo que uno que falle no deje todo parado.

Los valores de texto del registro se guardan con una huella con clave (HMAC-SHA256), no en claro: se puede comprobar si un valor es el esperado, pero no leerlo.

Un solo dispositivo habilitado es un punto frágil: si falla, el gestor se detiene; y es también un punto ciego, porque un registro que alguien puede borrar no sirve como prueba. Lo habitual es enviar copia a un sistema aparte.

Abre dispositivos.txt y fíjate en el estado de cada ruta.

Leer el registro es cruzarlo: cada lectura de una ruta sensible tiene que tener una razón conocida (la aplicación que la usa, un cambio aprobado). Las que no la tienen no son una acusación: son una pregunta.

En registro-auditoria.txt hay lecturas de los secretos de nómina. En cambios.txt están los cambios aprobados de esos días. Busca una lectura de madrugada que no sea de la aplicación de nómina ni esté en ningún cambio.

Una denegación es una petición que el gestor rechazó por política. Un error de configuración las produce sin mala intención: el pipeline recién cambiado pide algo que su política nueva ya no incluye. Pero una racha seguida de peticiones a rutas distintas también es la forma que tendría un reconocimiento de lo accesible.

El pipeline de despliegue tiene un cambio aprobado esa tarde. Cuenta cuántas peticiones suyas denegó el gestor en el extracto.

Lo que muestra el registro de la tarea 3 es una lectura de madrugada por una cuenta cuya política lo permitía, sin cambio asociado. No dice por qué, ni si la cuenta la usó su dueña, ni si fue un descuido o una guardia. Concluir quién es responsable con eso es ir más allá de los datos.