MyZapp protege sus registros de seguridad contra la modificación: el registro de auditoría, el registro de accesos denegados, el registro de llamadas a la API, el registro de accesos a datos sensibles y el registro de inicios de sesión. Cada línea está encadenada a la anterior mediante una huella que la base de datos calcula en el momento en que se escribe. Una línea de estos registros no puede modificarse ni eliminarse desde la aplicación, y una modificación hecha directamente en la base de datos la detecta la verificación.
Verificación de integridad
La pantalla Integridad de los registros está en el menú Administración › Instancia y explotación › Auditoría. Está reservada a los Administradores de forma predeterminada.
Muestra la última verificación (fecha, tarea programada o lanzada manualmente, resultado) y después una línea por registro:
- Estado: Íntegro, Íntegro, líneas anteriores en proceso de encadenamiento, Roto, Sin encadenar o No se pudo verificar;
- Líneas encadenadas: líneas escritas desde que se activó la protección;
- Líneas anteriores encadenadas a posteriori y Líneas anteriores pendientes de encadenar: líneas que existían antes de activar la protección, encadenadas por lotes por la tarea de verificación;
- Primera línea con fallo: su número y el tipo de fallo (línea eliminada o insertada, contenido modificado, enlace con la línea anterior roto, detalle modificado, detalle borrado sin constancia del borrado, protección de la tabla retirada o desactivada, línea escrita eludiendo la protección).
Verificar ahora lanza una verificación completa y muestra su resultado. La tarea programada AuditIntegrityCheck hace la misma verificación cada noche; falla cuando un registro está roto, y el fallo también se escribe como error en el registro de la aplicación.
Un registro roto no se puede reparar desde la aplicación: la línea indicada se modificó fuera de ella. Conserve la base de datos tal como está e infórmelo al responsable de seguridad.
Detalle borrado
Cuando se borran los datos personales de una persona, se vacía el detalle de las líneas del registro de auditoría que la conciernen. La huella de ese detalle permanece en la línea: la cadena sigue siendo verificable. El detalle de la línea muestra entonces Detalle borrado el seguido de la fecha, y el propio borrado queda registrado.
Anclajes externos
Cuando el responsable del servidor lo ha configurado, MyZapp exporta periódicamente la última huella de cada registro fuera de la base de datos, a un almacenamiento que no se puede borrar. Estos anclajes solo contienen huellas e identificadores, ningún dato personal. Protegen contra lo que la verificación por sí sola no ve en la base de datos: la eliminación de las últimas líneas de un registro, o su reescritura completa por parte de alguien con todos los derechos sobre la base de datos.
La sección Anclajes externos de la pantalla indica:
- Coincide con la base de datos y el número de Anclajes comparados;
- Un anclaje no coincide con la base de datos, con el registro, la posición y la causa: el registro se reescribió o se eliminaron líneas. Conserve la base de datos tal como está e infórmelo al responsable de seguridad;
- que no se pudieron leer los anclajes: no se hizo la comparación, lo que no es un fallo del registro;
- que no hay ningún anclaje configurado: también aparece una advertencia en el estado de salud de la instancia;
- la Última exportación, y si está Fallida.
Con un proveedor de alojamiento, suele ser su propia herramienta la que compara los anclajes con la base de datos, para que su instancia nunca tenga acceso a los anclajes de otros clientes. La pantalla indica entonces Comparado por el proveedor de alojamiento, con la fecha de su última comparación. Si aún no ha enviado nada, la pantalla lo indica; sin una comparación reciente, aparece una advertencia en el estado de salud de la instancia.
Tras restaurar una copia de seguridad, los anclajes más recientes que esa copia ya no coinciden: el responsable del servidor los descarta con el ajuste Audit:Anchor:NotBefore.
Conservación
De forma predeterminada, nunca se elimina ninguna línea de estos registros. El operador de la instancia puede fijar un período de conservación por categoría (operaciones de administración, inicios de sesión y accesos denegados, accesos a datos sensibles, llamadas a la API). Cada noche se borran entonces las líneas más antiguas, empezando siempre por las más antiguas, y el borrado deja constancia: la cadena sigue siendo verificable y la pantalla indica, para cada registro, el número de líneas borradas y la fecha del último borrado. Nunca se borra una línea de menos de un día.
Exportación firmada
La tarjeta Exportación firmada descarga un registro durante un período (sin fechas: los últimos 7 días) en forma de archivo. Contiene una línea por entrada con sus huellas, nunca el contenido del detalle, una firma con la clave de esta instancia y la clave pública que permite verificarla, así como un fichero que describe la exportación e indica el comando de verificación. Cualquier cambio en una línea de la exportación invalida la firma. La exportación queda inscrita en el registro de accesos a datos sensibles. Se rechaza si la instancia no tiene una clave de identidad utilizable, o si el período contiene demasiadas líneas: redúcelo.
Envío al SIEM
Cuando el operador lo ha configurado, las nuevas líneas de estos registros y las alertas de seguridad se envían cada minuto a la herramienta de supervisión de la seguridad (SIEM) del centro. La tarjeta Envío al SIEM indica, para cada registro, el número de líneas en espera, la fecha del último envío y la línea en espera más antigua. Si la herramienta no está disponible, el envío se reanuda donde se detuvo, sin perder ninguna línea.