Registro di audit

Ricostruire un’operazione in seguito

Un registro di audit conserva eventi applicativi selezionati perché importanti per la tracciabilità. Deve mostrare chi ha tentato o svolto quale azione su quale oggetto, quando e con quale esito. Comprende una marca temporale adeguata e un riferimento all’interazione che collega eventi associati. Un contatore generico degli errori non risponde a queste domande.

In un portale fittizio per progetti, user-17 tenta di cambiare il ruolo su project-8 da viewer a editor. Il server rifiuta il tentativo e registra l’esito denied. Leggendo solo il cambio richiesto si potrebbe supporre che sia avvenuto. L’esito mostra che questo tentativo non ha assegnato nuovi permessi.

Proteggere il valore probatorio del registro

Il team definisce quali eventi servono e chi può leggere, scrivere o cancellare i record. Password, token di accesso e documenti riservati completi non devono finirvi come informazioni aggiuntive per comodità. Anche la conservazione richiede una regola motivata.

Chiamare un file registro di audit non lo rende completo o a prova di manomissione. Protezione contro modifiche e cancellazioni non autorizzate, rilevamento delle alterazioni e controllo dei guasti alla registrazione fanno parte dell’implementazione. Una voce persa o modificata in seguito può portare un’indagine nella direzione sbagliata.

Fonti

• OWASP — Logging