Skip to content

Verificar que la traza de auditoría no se manipuló

Vuelve a comprobar los registros de auditoría guardados de tu tenant contra sus firmas y su cadena de hashes, para demostrar que ningún registro se alteró ni se eliminó después de escribirse. La verificación detecta e informa; nunca modifica un registro de auditoría.

Quién puede hacerlo

Un administrador del tenant inicia una verificación de las cadenas propias del tenant mediante la API. En la consola, la verificación la inicia un superadministrador de plataforma; tu registro de auditoría muestra su resultado, en modo de solo lectura. Un auditor del tenant puede leer el resultado, pero no iniciar una verificación.

Antes de empezar

  • Tus registros de auditoría se guardan como cadenas, una por tipo de registro: operaciones criptográficas, cambios administrativos, autenticación, handshake PQC y acceso a la auditoría. Una verificación recorre una cadena a la vez.
  • La plataforma también verifica cada cadena de forma programada, así que tu registro de auditoría puede mostrar ya un resultado reciente.

Pasos

  1. Abre Auditoría desde la navegación de tu tenant y lee el estado de integridad junto al título: Verificado íntegro, Aún no verificado, Ruptura de integridad detectada o Estado de integridad no disponible. Indica cuándo se verificaron los registros por última vez, qué tipos de registro cubre y si la política de retención eliminó eventos más antiguos.
  2. Para iniciar una verificación, un administrador del tenant llama a la API que se describe en "Sin la consola". En la consola, lo hace un superadministrador de plataforma:
    1. Abre Integridad de auditoría desde la navegación de la plataforma y selecciona Por tenant.
    2. En la fila de tu tenant para el tipo de registro, selecciona Verificar esta cadena.
    3. En Verificar una cadena, marca Volver a comprobar desde el inicio de la cadena para ignorar el punto de control registrado y volver a demostrar toda la cadena; déjalo sin marcar para continuar desde la última posición verificada.
    4. Selecciona Verificar.

Qué ves cuando funcionó

La verificación informa los registros comprobados, las firmas de registro que no coincidieron, el rango cubierto y, cuando encuentra una, cada ruptura con su tipo y su posición. Un veredicto de integridad vale solo para el rango cubierto: un recorrido que se detuvo en su límite lo indica, y una nueva llamada continúa desde donde se detuvo. Después, el estado de integridad de tu registro de auditoría refleja la ejecución más reciente.

Un veredicto de ruptura es una verificación correcta, no un error. Sigue indicando ruptura hasta que una ejecución posterior sobre el mismo rango encuentre la cadena íntegra.

Si falla

Qué ves Causa Qué hacer
"No se pudo ejecutar la verificacion" Ya hay una verificación de esta cadena en curso (409), o se rechazó la solicitud Espera a que termine la que está en curso y verifica de nuevo
403 de la API No tienes el permiso para verificar, o te diriges a un tenant que no es el tuyo Usa una cuenta de administrador del tenant de este tenant
Estado de integridad no disponible No se pudo leer el estado Los registros no se ven afectados; vuelve a cargar la página

Sin la consola

Un administrador del tenant no tiene ningún control de la consola para esta tarea; la API es la forma de iniciar una verificación de las cadenas propias del tenant.

Superficie Cómo
API, verificar una cadena POST /api/v3/audit/tenants/{tenantId}/integrity/verify?plane=<plane> (operación verifyTenantAuditIntegrity), donde plane nombra la cadena, por ejemplo CRYPTO, ADMIN, AUTH, PQC o META. Agrega fromGenesis=true para volver a demostrar la cadena desde su origen. La llamada es síncrona y responde 200 con verdict (INTACT o BROKEN), rowsVerified, verifiedFrom, verifiedTo, complete, signatureFailures, chainBreaks y coverage
API, leer el resultado más reciente GET /api/v3/audit/tenants/{tenantId}/integrity/last (getTenantAuditIntegrityVerdict); omite plane para el agregado de todos los tipos de registro. everVerified: false significa que nadie lo revisó, y no es una aprobación

No hay ningún comando de la CLI ni método del Admin SDK para la integridad de la auditoría.

Relacionado