Lo que deja el pentester en los registros de auditoría

El registro de esta nube viene activado y guarda los eventos de gestión de los últimos noventa días: crear, cambiar, borrar y describir recursos. Lo que no guarda por omisión es la otra mitad, los eventos de datos: leer o escribir un objeto del almacenamiento, invocar una función. Esos hay que activarlos a propósito, y cuestan aparte porque son muchísimos más.

La consecuencia para un informe es directa. Si el cliente pregunta quién leyó un archivo y los eventos de datos estaban apagados, la respuesta honesta no es «nadie»: es que no se registró, y eso se reporta como hallazgo con efecto retroactivo.

Cuando un encargo se hace con un rol de la cuenta del cliente, la sesión lleva un nombre que se acuerda por escrito antes de empezar. Ese nombre aparece en cada evento y es lo que permite al equipo del cliente separar lo que hizo el evaluador de lo que hizo cualquier otro. También es lo que se entrega al terminar, para que la revisión sirva de ejercicio de detección.

Abre la consola y mira primero la tabla de sesiones: SELECT * FROM sesiones.

Un evento no se anota solo cuando la acción sale bien. Si el permiso la rechaza, el registro guarda igualmente quién la intentó, sobre qué y con qué código de error. Para el equipo de detección del cliente esos rechazos son la señal más barata que existe, porque aparecen aunque el intento no consiga nada, y una ráfaga de rechazos de una misma identidad es el patrón más reconocible de alguien tanteando permisos.

Lee los eventos con SELECT * FROM eventos y busca la fila que no salió bien.

Al cerrar el encargo, el informe dice qué dejó el equipo en la cuenta y qué quitó. La columna que marca si una acción es de solo lectura permite contarlo sin discutir: todo lo que no sea de solo lectura cambió algo, y cada cambio tuvo que estar avisado por escrito antes de hacerse. En este encargo fueron el grupo de registros que el equipo creó para dejar sus propias huellas y el mismo grupo cuando lo borró al terminar.

La última entrega del encargo no es técnica. Es una tabla con las horas, la sesión, las acciones y los rechazos del evaluador, para que el cliente la compare con lo que su propia vigilancia detectó. De ahí salen dos respuestas que le sirven más que cualquier hallazgo suelto: qué habría visto y qué no, y qué tendría que activar para verlo la próxima vez.