Registro de auditoría

Reconstruir una operación posteriormente

Un registro de auditoría conserva eventos de aplicación seleccionados por su importancia para la trazabilidad. Debe mostrar quién intentó o realizó qué acción sobre qué objeto, cuándo y con qué resultado. Incluye una marca temporal adecuada y una referencia de interacción que vincula eventos relacionados. Un contador general de errores no responde a estas preguntas.

En un portal ficticio de proyectos, user-17 intenta cambiar el rol en project-8 de viewer a editor. El servidor rechaza el intento y registra el resultado denied. Quien lea solo el cambio solicitado podría suponer que se produjo. El resultado muestra que este intento no concedió ningún permiso nuevo.

Proteger el valor probatorio del registro

El equipo define qué eventos necesita y quién puede leer, escribir o borrar los registros. Las contraseñas, los tokens de acceso y los documentos confidenciales completos no deben añadirse como información extra por comodidad. La conservación también necesita una regla justificada.

Llamar registro de auditoría a un archivo no lo hace completo ni inviolable. La protección contra cambios y borrados no autorizados, la detección de alteraciones y la vigilancia de fallos de registro forman parte de la implementación. Una entrada perdida o modificada después puede orientar una investigación en la dirección equivocada.

Fuentes

• OWASP — Logging