Proteger el propio registro

El registro de auditoría es la prueba de lo que pasó, y por eso es lo primero que un atacante con bastante acceso intenta borrar o apagar. Si lo consigue, el incidente queda sin rastro: no se sabe qué tocó, ni cuándo, ni por dónde entró. De poco sirve registrarlo todo si quien abusa de la cuenta puede, con el mismo acceso, hacer desaparecer el registro de su abuso. Por eso proteger el propio registro no es un extra: es lo que distingue un registro que es una prueba de uno que es solo una comodidad mientras nadie quiera borrarlo.

Un registro que quien abusa puede apagar deja de ser una prueba justo cuando más falta hace.

En Cobalto el registro de auditoría se guarda en la misma cuenta, en un almacén que el rol de administración puede modificar y borrar como cualquier otro. Eso significa que no hay separación de poderes: la misma identidad que puede hacer daño puede borrar la constancia de haberlo hecho. Si esa identidad de administración se compromete —y es justo la que más se busca—, el atacante no solo actúa, sino que limpia detrás de sí. Un registro bajo el control de quien podría querer borrarlo no es independiente, y un registro que no es independiente no se puede usar como prueba frente a quien lo controlaba.

Si el administrador puede borrar el registro, el registro cuenta solo lo que el administrador consienta que cuente.

Un registro resiste a que lo borren cuando se apoya en tres cosas. Almacenamiento inmutable: el registro se escribe en un soporte que no deja sobrescribir ni borrar lo guardado antes de un plazo, de modo que ni el administrador puede alterarlo. Validación de integridad: una firma o resumen que permite detectar si una línea se cambió o se quitó. Y separación: el registro se copia a una cuenta aparte, dedicada solo a guardarlo, cuyo acceso no tiene el rol que administra la cuenta vigilada. Con las tres, borrar el rastro deja de estar al alcance de quien compromete la cuenta de trabajo.

Inmutable, verificable y guardado aparte es lo que convierte un registro en algo que ni el propio administrador puede deshacer.

La corrección en Cobalto es sacar el registro del alcance de quien podría querer borrarlo. Se envía a una cuenta de registro aparte, dedicada solo a conservarlo, a la que el rol de administración de la cuenta vigilada no tiene acceso; se guarda en almacenamiento inmutable, para que no se pueda alterar antes de su plazo; y se activa la validación de integridad, para que cualquier manipulación se note. Así, aunque comprometan la cuenta de Cobalto, el registro queda intacto y utilizable como prueba. Es el mismo principio de contención de la ruta aplicado a la prueba misma: que un fallo en una cuenta no llegue a la constancia de lo que pasó.

Guardar el registro fuera del alcance del administrador, inmutable y verificable, es lo que garantiza que sobreviva al incidente que debe probar.

Abre el laboratorio de integridad del registro de Cobalto. Revisa dónde se guarda el registro, quién puede modificarlo o borrarlo y si tiene almacenamiento inmutable o validación de integridad, y lee el informe de la revisión, que cierra con el código de la sala.