Integridad y retención de los registros

Quien entra a un servidor suele querer borrar sus huellas, y el primer lugar donde mira es el registro. Por eso un registro creíble no depende de la buena voluntad del servidor que lo genera: se copia casi en tiempo real a otra máquina que la aplicación no administra, se escribe en modo de solo añadir, y cada línea lleva un número de secuencia que no admite saltos. Con esas tres cosas, un borrado deja dos huellas: la copia remota conserva lo que el original perdió y el número que falta delata el hueco.

El permiso del archivo es la comprobación más barata: si el usuario de la aplicación puede escribir en el registro, quien controle la aplicación también.

Abre el registro de la aplicación y lee los números de secuencia. Una numeración continua es lo que debería haber; un salto significa que líneas desaparecieron, y desaparecieron justo en el intervalo que probablemente interesa. El auditor no concluye quién las quitó: anota el último número válido antes del hueco y el primero después, y pide la copia remota que debería existir para ese intervalo.

Entre dos líneas numeradas hay una que no tiene número y que dice que el administrador entró desde una dirección externa. Esa línea no la escribió la aplicación como un hecho: aparece porque el valor del usuario de un intento fallido traía un salto de línea, y la aplicación lo copió tal cual al registro. Quien lee el archivo ve dos líneas donde hubo un solo evento. Es la falsificación de registros, CWE-117 (neutralización incorrecta de la salida hacia los registros).

El arreglo es del lado de la aplicación: neutralizar saltos de línea y otros caracteres de control en lo que se escribe, o escribir cada evento como un objeto estructurado en el que el usuario es un campo, no parte de la línea.

La política de Ancuyo fija cuánto tiempo se conservan los registros de seguridad. Lo que cuenta es lo que la configuración hace, no lo que la política dice. Lee la rotación del registro de la aplicación y calcula cuántos días de historia quedan disponibles antes de que el archivo más viejo se descarte. Una semana de rotación con varias copias guardadas suma los días de todas ellas.

La política de Ancuyo dice que los registros se copian a un servidor distinto. Comprueba si es cierto: en la carpeta de configuración hay un archivo para escribir en el disco local y otro para reenviar al servidor central. Uno de ellos está apagado, y esa es la razón por la que, cuando falten líneas en el registro local, no habrá dónde recuperarlas.