Verificar que el registro no se tocó

Con la validación de integridad encendida, CloudTrail entrega además de los archivos de registro unos archivos de resumen, los digest, firmados. Cada uno lista los archivos de registro de la última hora con su valor de hash. La herramienta de la línea de comandos, validate-logs, empieza por el digest más reciente, comprueba su firma y después comprueba el hash de cada archivo de registro que ese digest nombra; luego retrocede por la cadena.

Los mensajes de la herramienta distinguen lo que falló. Un archivo de registro con el mensaje «hash value doesn't match» es uno cuyo contenido ya no coincide con el hash que se anotó cuando CloudTrail lo entregó, es decir, alguien lo modificó después. Un digest con un mensaje de firma no verificada o de ausencia es otro problema: del tramo que cubría no se puede afirmar nada.

En modo normal, validate-logs solo imprime lo que falló, y cada línea lleva la ruta completa del archivo en el bucket. El nombre de un archivo de registro de CloudTrail sigue un patrón: cuenta, nombre del servicio, región, la fecha y hora en que se entregó y, al final, un código único de dieciséis caracteres antes de la extensión .json.gz.

Ese código final identifica al archivo sin ambigüedad. Es lo que se apunta en el informe cuando hay que pedir a alguien que lo recupere de una copia o que explique por qué cambió: no la ruta, sino la hora y el código.

Un hueco en el registro no siempre significa que algo se alteró. Puede significar que el registro estuvo apagado. La llamada que detiene un trail se anota como cualquier otra, y es lo último que el trail registra antes de callar. Cuando alguien lo vuelve a encender, la llamada de encendido es lo primero que aparece al volver. Entre las dos no hay nada.

Así que ante un silencio sospechoso la primera búsqueda es la de esos dos eventos, y el campo userIdentity dice quién los pidió, y sourceIPAddress, desde dónde. Mira en el extracto del trail la llamada de apagado y anota su hora.

El tamaño del hueco se mide entre los dos eventos que lo rodean: la hora del apagado y la hora del encendido siguiente. Lo que ocurrió dentro de esa ventana, con la cuenta activa y el trail callado, no se puede reconstruir desde este trail, y por eso la duración entra en el informe como el tiempo ciego de la cuenta.

Para ese tramo hay que buscar otras fuentes, y para eso conviene el cálculo exacto. Resta las horas de los dos eventos y escribe el resultado en minutos.

La salida del laboratorio tiene un segundo mensaje, distinto del anterior, sobre un digest marcado «INVALID: not found». El digest es el archivo que sostiene la validación del tramo de una hora que cubre, y sin él los archivos de registro de ese tramo no se pueden comprobar, aunque estén intactos.

No es una prueba de manipulación, y tampoco se puede dejar pasar: el resultado correcto del informe es «no verificable», con la hora del tramo, y la tarea de averiguar por qué falta ese archivo antes de dar el registro por bueno.