Lo que queda escrito de cada acción

El registro de auditoría de la nube anota quién hizo qué, cuándo y desde dónde, sobre la cuenta. En AWS es el registro de actividad de la API; en Azure, el registro de actividad de la suscripción. Para que sirva tiene que cumplir tres cosas: estar encendido, cubrir todas las regiones —no solo donde se trabaja hoy, porque un abuso puede empezar en una región olvidada— y guardar el rastro el tiempo suficiente para investigar cuando el incidente se descubre semanas después. Cobalto tiene el registro encendido en su región principal pero apagado en las demás: un punto ciego donde una acción no deja huella.

Un registro que solo cubre una región es una cámara que solo mira una puerta de un edificio con varias.

Cobalto guarda el registro de auditoría solo siete días. La mayoría de los incidentes de nube se descubren mucho después de que empiecen —una fuga que se nota cuando los datos aparecen a la venta, un acceso indebido que sale en una revisión trimestral—, así que una retención de días significa que, cuando por fin se investiga, el rastro ya se borró. No es que falte la cámara: es que la grabación se sobrescribió antes de que nadie la mirara. La retención sana se cuenta en meses, y para ciertos datos la fija una obligación del sector. Guardar poco sale barato hasta el día que hay que reconstruir qué pasó y no hay con qué.

Una retención de días convierte el registro en algo que existe justo hasta el momento en que haría falta.

Con el registro encendido y guardado, los abusos de las salas anteriores dejan señales concretas. Un inicio de sesión de una cuenta válida sin segundo factor, desde una dirección y a una hora que no encajan con quien dice ser, es la huella del abuso de una cuenta legítima. Una descarga masiva de objetos del almacenamiento de recibos en pocos minutos es la huella de la fuga de datos. Y las credenciales del rol de una instancia usadas desde una dirección que no es la de esa instancia son la huella del robo por metadatos: la máquina no viaja, así que su credencial usada desde fuera solo puede estar robada. Detectar no es adivinar; es cruzar quién, desde dónde y qué, y quedarse con lo que no encaja.

Cada abuso que se cierra en la configuración deja además una señal en el registro; saber leerla es lo que permite darse cuenta la próxima vez.

Detectar sin actuar no contiene nada. Cuando el registro muestra una credencial de instancia usada desde fuera, la contención inmediata es revocar esa sesión y quitarle el rol a la instancia, para que las credenciales robadas dejen de valer al instante, antes de investigar el resto. La detección continua no debería depender de que alguien mire el registro a mano: se configura una alerta sobre las señales que importan —inicio de sesión sin segundo factor, descarga masiva, uso anómalo de una credencial de rol— para que salte sola. Cobalto no tenía ninguna alerta configurada, así que el registro, aun encendido, no avisaba a nadie.

Cerrar el ciclo —registrar, alertar y contener— es lo que hace que la próxima vez el abuso se corte en minutos y no en meses.

Abre el laboratorio del registro de Cobalto. Lee la configuración del registro —cobertura, retención, alertas— y el extracto con las tres señales de abuso; después abre el informe de la revisión, que cierra con el código del hallazgo.