Integridad de Auditoría
Para qué sirve esta pantalla
Cada registro de auditoría se firma al escribirse y se enlaza con el registro anterior, de modo que un registro alterado o eliminado después pueda detectarse. Esta pantalla responde si eso ha ocurrido: muestra el veredicto vigente de la verificación que vuelve a comprobar los registros almacenados, te permite iniciar una verificación y lista lo que encontró cada ejecución. La verificación detecta e informa. Nunca modifica un registro de auditoría, así que nada en esta pantalla cambia el rastro.
Los registros se guardan como cadenas, una por tenant y tipo de registro. Los cinco tipos de registro son operaciones criptográficas, cambios administrativos, autenticación, handshake PQC y acceso a auditoría, y los registros administrativos, de autenticación y de acceso a auditoría forman además una cadena de toda la plataforma que no pertenece a ningún tenant. El veredicto se da por cadena, y la cabecera es el peor de todos.
Qué debe existir antes
Es una pantalla de plataforma, que se abre en el contexto de plataforma. Antes de trabajar aquí necesitas:
- El permiso de lectura de integridad de auditoría de plataforma, que muestra la entrada de la barra lateral y toda la pantalla. Los roles integrados de administrador y auditor de plataforma lo tienen; el visor de plataforma, no. Sin él, la pantalla indica qué permiso necesita.
- El permiso de verificación de integridad de auditoría de plataforma, para Ejecutar verificacion y Verificar esta cadena. Sin él, el botón está deshabilitado y nombra el permiso. Solo el superadministrador de plataforma lo tiene.
La verificación también se ejecuta de forma programada, cada seis horas salvo que tu despliegue haya fijado otra cadencia, y cada pasada visita como máximo 500 cadenas y dedica como máximo 5.000 registros a cada una, reanudando desde la posición que alcanzó la pasada anterior. Un despliegue puede desactivar la programación; entonces las únicas ejecuciones son las que se inician aquí, y la pestaña Historial de ejecuciones es donde se nota su ausencia.
Decisiones que tomas aquí
Leer el veredicto
La banda bajo el título está en uno de cuatro estados:
- Verificado integro: cada cadena con una ejecución registrada llegó a su última ejecución sin rupturas. Cuando alguna cadena empieza después de su origen porque la política de retención eliminó registros anteriores, la banda indica desde cuándo cubre eventos el veredicto y que es un comportamiento normal y programado; la eliminación está atestiguada por un registro de retención firmado y no es una ruptura.
- Aun no verificado: ninguna ejecución ha decidido nada. No es un problema ni una aprobación; significa que nadie lo ha comprobado.
- Ruptura de integridad detectada: la última ejecución de al menos una cadena encontró una ruptura, y la banda cuenta las cadenas afectadas. Una cadena rota deja rota la cabecera por muchas cadenas íntegras que haya junto a ella.
- Estado de integridad no disponible: el estado no pudo leerse. Los registros en sí no se ven afectados.
Debajo, la medida de cobertura: cuántas cadenas tienen una ejecución registrada, de cuántas se contó que existen y cuándo se tomó ese recuento. Los dos números se miden en momentos distintos y nunca se convierten en porcentaje. Una ejecución que se detuvo en su presupuesto contribuye como Integro dentro del rango cubierto, que significa nada encontrado todavía, no nada que encontrar.
Que se verifica? lista las cinco comprobaciones que una ejecución hace sobre cada registro que alcanza: el registro sigue coincidiendo con su propia firma; sigue enlazando con el registro anterior; ninguna posición de la secuencia falta ni se repite; el primer registro de cada cadena es el inicio auténtico; y toda eliminación al inicio de una cadena está respaldada por un registro de retención firmado.
Solo la primera puede detectar un registro cuyo contenido se reescribió en su sitio, porque la cadena ata dónde está un registro y no lo que dice; solo las demás pueden detectar un registro movido o eliminado.
Entender una ruptura
Una ruptura se informa con su tipo, la posición de la secuencia donde se encontró, la posición esperada allí, cuándo se escribió el registro verificado anterior y la ejecución que la encontró. Los tipos son: Registro faltante, Posicion repetida, Enlace no coincide, Registro alterado, Firma no coincide, Origen faltante, Segundo origen, Hueco inicial sin atestiguar y Marca de retencion invalida.
Registro alterado significa que el registro o su posición ya no se recalculan con la clave de la cadena; Firma no coincide significa que la firma propia del registro ya no coincide con su contenido. Un registro que nombra una clave de firma o un formato que la plataforma no tiene se informa como no coincidente, nunca se omite.
Copiar detalles pone esos datos en el portapapeles. Lo que hagas con ellos queda fuera de esta pantalla: el veredicto sigue roto hasta que una ejecución posterior sobre el mismo rango encuentre la cadena íntegra, y como la verificación no repara nada, eso ocurre solo cuando los registros se restauran fuera de la plataforma.
Ejecutar una verificación de plataforma
Ejecutar verificacion inicia un recorrido sobre todas las cadenas, con el mismo presupuesto que la programación, y devuelve el control de inmediato; el botón pasa a Verificacion en curso… y el recuento de registros verificados avanza mientras recorre. Un contador congelado es una ejecución detenida, no silencio.
Cuando ya hay una ejecución en marcha, la solicitud se une a ella en lugar de iniciar una segunda. Al terminar, la pantalla anuncia uno de cuatro desenlaces: completada, ruptura detectada, interrumpida antes de cubrir todo el rango, o terminada sin examinar ninguna cadena, lo que no dice nada sobre el rastro. Ejecutar de nuevo reanuda desde la última posición verificada.
Verificar una cadena
En la pestaña Por tenant, Verificar esta cadena recorre la cadena de un tenant para un tipo de registro mientras esperas y muestra el informe completo: registros comprobados, firmas que no coincidieron, el rango cubierto y las condiciones bajo las cuales este veredicto podría informar una ruptura que no lo es o no detectaría un cambio en absoluto.
Volver a comprobar desde el inicio de la cadena ignora el punto de control registrado y vuelve a probar toda la cadena; es más lento y es la única forma de auditar el propio punto de control. Las cadenas del tenant de plataforma y las de toda la plataforma no pueden abordarse así y se leen Cubierta por la verificacion de plataforma.
Leer el desglose y el historial
Por tenant lista cada cadena con una ejecución registrada, su integridad, el estado de su ejecución y cuándo se verificó por última vez, filtrable por tipo de registro. Historial de ejecuciones lista las ejecuciones, las más recientes primero, 25 por página, con su ámbito, estado, veredicto, registros verificados, si fueron Programada o iniciadas por un Operador y, en una ejecución rota, dónde se rompió el rastro. Una ejecución con estado Interrumpida solo habla del rango que alcanzó.
Cómo se relaciona con otras pantallas
El veredicto de la cadena de acceso a auditoría se proyecta en la pestaña Certificar de Acceso a Auditoría, y el Registro de Auditoría de cada tenant muestra el estado de sus propias cadenas junto a su título, en solo lectura:
Los tenants nombrados en la pestaña Por tenant son los de la pantalla de tenants:
Dónde leer más
Esta página está en inglés: