Deriva de configuración

La deriva no es un ataque ni un error de nadie en particular: es la consecuencia natural de que haya personas con acceso a máquinas vivas. Lo que se mide es la distancia entre una línea base aprobada y el estado real. Detectarla es necesario y no basta: si la causa es que la imagen trae el ajuste mal, cada instancia nueva nace desviada y la detección solo cuenta los casos.

Abre linea-base-aprobada.txt y estado-de-conformidad.csv. La asociación del gestor corre los domingos, así que la última conformidad es siempre un domingo.

En el estado de conformidad hay dos máquinas con el inicio de sesión remoto de root permitido, pero no son el mismo caso. Una nunca fue conforme: nació así de su imagen. La otra estuvo conforme y dejó de estarlo: algo cambió después. Es esta segunda la que se explica con un cambio, y la que se investiga con el registro de administración.

registro-de-cambios.log anota quién tocó qué, con el ticket de cambio que lo autoriza. Un cambio sin ticket no prueba mala intención: prueba que el proceso de cambios no se cumplió, y por tanto que nadie evaluó su riesgo. Cruza el host y la fecha del cambio con la deriva que viste en la tarea anterior.

La asociación se ejecuta los domingos: la última conformidad registrada marca el último momento en que se sabe que la máquina estaba bien. Calcula cuántos días pasaron desde esa fecha hasta el inventario, que está en el encargo. Es el tiempo máximo durante el que ese host pudo estar desviado sin que nadie lo supiera por la vía normal.

En el estado de conformidad hay otra desviación, esta vez con ticket: el servidor de hora de web-prod-02 fue cambiado con un cambio autorizado, y sin embargo el gestor lo marca como no conforme. Aquí el cambio no es el problema: la línea base quedó desactualizada respecto a una decisión aprobada, o la decisión aprobada contradice la línea base.