No todo queda en el mismo libro

Lo que pasa en una cuenta de nube se reparte en tres planos, y cada uno tiene su registro. El plano de administración anota las acciones sobre la configuración de la cuenta: crear un usuario, cambiar un permiso, abrir un almacén, modificar una regla de red. El plano de datos anota el uso del contenido: quién leyó, descargó o subió un objeto a un almacenamiento. Y el registro de red anota las conexiones: qué habló con qué, por qué puerto. Son registros distintos que se encienden por separado, y una acción solo queda escrita en el que le corresponde a su plano.

Saber en qué plano ocurre cada acción es lo que dice qué registro tienes que haber encendido para poder verla después.

Cobalto tiene el registro de actividad de la cuenta encendido, así que un cambio de permisos o la apertura de un almacén sí quedan escritos. Pero el registro de acceso a los datos está apagado. Eso significa que la descarga masiva de recibos que viste como señal de fuga en la sala anterior —miles de objetos leídos en pocos minutos— no deja ninguna línea, porque leer objetos es plano de datos, y ese libro está cerrado. Puedes tener el registro "encendido" y aun así ser ciego justo a la señal que delata la exfiltración. Lo que no se anota no se puede detectar ni reconstruir después.

Con el plano de datos apagado, una fuga desde el almacenamiento ocurre sin dejar una sola línea que la cuente.

Lo mismo pasa con la red. El registro de red de Cobalto está apagado, así que un sondeo de puertos contra sus máquinas, o una conexión saliente rara hacia un destino desconocido, no quedan registrados: eso es plano de red, y no hay quién lo anote. El registro de actividad de la cuenta no ve conexiones, solo cambios de configuración. Por eso, para poder reconocer un escaneo o una conexión de salida sospechosa —las señales que acompañan a un puerto abierto de más— hace falta tener encendido el registro de flujos de red. Sin él, la red es un punto ciego por mucho que el resto del registro funcione.

Un escaneo o una conexión de salida extraña solo quedan escritos si el registro de red está encendido; el de la cuenta no los ve.

La corrección es encender los planos que faltan para que las señales que importan queden escritas. Al registro de actividad de la cuenta, que ya estaba, se le suma el registro de acceso a los datos —al menos sobre los almacenes con datos personales, para que una descarga masiva deje huella— y el registro de flujos de red, para ver escaneos y conexiones de salida. No hace falta anotarlo todo en todas partes: se enciende el plano donde ocurre lo que quieres poder detectar, y se dirige el detalle a donde hay algo que proteger. Con los tres planos cubiertos, las señales de fuga y de escaneo que antes pasaban invisibles pasan a estar registradas y, con las alertas de la sala anterior, a avisar.

Encender el plano de datos y el de red donde hay algo que proteger es lo que convierte "hay registro" en "queda escrito lo que importa".

Abre el laboratorio de tipos de registro de Cobalto. Revisa cuáles de los tres planos están encendidos y cuáles apagados, confirma que la descarga de datos y el tráfico de red no quedan escritos, y lee el informe de la revisión, que cierra con el código de la sala.