Auditoría de qué se descargó y quién

El registro de acceso de un registro de paquetes anota cada petición: fecha y hora, identidad, dirección de origen, paquete, versión, resultado y, si se aplicó, la regla que decidió. Con eso se contestan preguntas que sin él son imposibles: si una versión sospechosa llegó a descargarse, a qué proyectos, y si una regla nueva ha estado denegando lo que debía.

Un registro así es evidencia. Se conserva el tiempo que diga la política, se protege de que alguien lo borre o lo edite y se lee en el orden del tiempo, porque la causa de un hallazgo suele ser varias líneas anterior a la que llama la atención.

Las identidades de personas tienen un horario típico. Una descarga de madrugada con una cuenta personal no es un delito, pero es un dato que merece una pregunta: ¿era la persona, estaba de guardia, o es la credencial en otras manos? La política de uso fija el horario; el registro dice la hora.

Se busca lo que no encaja, no lo que parece grave. Lee la política y el registro de descargas.

En la sala 2 viste que el nombre telar-utils estaba ocupado en el registro público con la versión 99.0.0. La regla que lo bloquea en el registro interno se activó el 1 de octubre. La pregunta es qué pasó antes: si alguna petición lo entregó.

Filtra el registro por ese paquete y esa versión y mira el código de resultado: 200 es que se entregó, 403 que se denegó.

Cuando se confirma que una cuenta descargó algo sospechoso, el alcance se mide por lo que esa cuenta hizo ese día, no solo por esa línea: qué otros paquetes bajó, en qué momentos y desde qué direcciones. De ahí salen los proyectos y los entornos que hay que revisar.

Cuenta las descargas con código 200 que hizo la cuenta de la tarea anterior el 29 de septiembre.

La tabla de cuentas explica por qué esta investigación cuesta: la cuenta que bajó el nombre ocupado la usan tres pipelines y nadie la reclama. Ante la línea del registro no se puede responder qué equipo, qué proyecto o qué construcción. Con direcciones distintas el mismo día, tampoco cuál de las máquinas.

El arreglo no es solo rotar la credencial. Es repartirla: una cuenta de servicio por pipeline, con un titular, y revisar los proyectos que la usaron en esa ventana.