Trilha de auditoria¶
O PEART mantém uma trilha de auditoria porque o produto deliberadamente não se defende dos seus atores mais privilegiados, o operador do host e o administrador da instalação. A trilha não os impede; ela registra o que aconteceu, para que uma investigação tenha um relato verdadeiro.
Apenas de inserção¶
A trilha de auditoria é uma tabela apenas de inserção: a aplicação nunca atualiza nem apaga uma linha dela. Um registro de auditoria, uma vez escrito, não é reescrito pelo mesmo sistema que o escreveu, o que é o que permite confiar nele como registro em vez de como uma visão mutável.
O que se audita, por regra¶
O que se audita é definido por uma regra generativa, não por uma lista que alguém precisa lembrar de estender. Todo evento que muda estado relevante para segurança é registrado, então uma ação nova em uma dessas categorias já nasce auditada por construção, não por alguém lembrar de adicioná-la. Decisões de autenticação e autorização, mudanças na disposição de um achado, liberação e retirada de relatório, e destruição de chave, tudo cai na trilha.
Dois desses merecem nome, porque são os que um auditor pergunta. Retirar um relatório completo retira também os resumos de reteste liberados daquele engajamento, e cada retirada em cascata é um registro próprio que nomeia o documento que a causou, então a cadeia continua legível meses depois. E quando um administrador libera à mão a trava de edição de outra pessoa, essa liberação forçada fica registrada; as liberações automáticas que a interface faz sozinha nunca tocam a trava de outro usuário, então nunca produzem um registro desses.
Identificadores, nunca conteúdo¶
A trilha registra identificadores e nunca valores de conteúdo. Um registro de auditoria que copiasse o texto de um achado transformaria a tabela de auditoria numa segunda cópia não cifrada do ativo mais sensível, então ela registra qual registro mudou e por quem, não o que o texto dizia. Quando um engajamento é expurgado, a destruição da chave dele é ela mesma registrada, então o apagamento deixa rastro mesmo que o dado que ele apagou não deixe.
Um ator pode sobreviver à conta que o nomeia. O id do ator e um rótulo legível são escritos na própria linha, e nenhum dos dois é chave estrangeira, então remover uma conta de portal, ou expurgar um engajamento, deixa essas linhas legíveis e atribuídas. Quem procurar um ator e não encontrar conta correspondente no cadastro está vendo o desenho, e não uma inconsistência.