Tema 14
No alcanza con restringir accesos y endurecer configuraciones. También es necesario registrar qué ocurre dentro de la plataforma de datos, quién hizo qué, cuándo, desde dónde y sobre qué objetos, para poder detectar abuso, reconstruir incidentes y sostener control real sobre la operación.
Una base de datos sin trazabilidad suficiente es una plataforma difícil de defender. Se pueden aplicar controles preventivos y aun así enfrentar incidentes, errores o abusos. Cuando eso ocurre, la capacidad de saber qué pasó, a quién afectó, qué cuenta estuvo involucrada y cuál fue el alcance real del evento depende en gran medida de la calidad del logging y la auditoría disponibles.
La auditoría y los registros no son solo una herramienta para responder después de una brecha. También sirven para control operativo, cumplimiento, revisión de accesos, detección temprana de conductas inusuales y mejora continua del entorno. En otras palabras, aportan visibilidad.
Este tema aborda cómo pensar los registros y la trazabilidad en bases de datos desde una perspectiva de seguridad, evitando tanto la ausencia de información como la acumulación caótica de logs sin criterio ni utilidad real.
La auditoría es el conjunto de mecanismos y procesos destinados a registrar, revisar y evaluar acciones relevantes sobre la plataforma y los datos. La trazabilidad, por su parte, es la capacidad de reconstruir el recorrido de una acción o un evento a partir de esas evidencias.
En una base de datos, la trazabilidad ideal permite responder preguntas como:
Los registros son críticos porque la mayoría de los incidentes sobre datos no se entienden en el momento en que ocurren. Se detectan más tarde, por síntomas indirectos, por una alerta, por un cambio inesperado en el negocio o por una revisión posterior. En ese momento, la evidencia disponible define si será posible o no comprender el incidente.
Un logging bien diseñado ayuda a:
No todo debe registrarse con la misma profundidad, pero existen categorías de eventos que suelen ser especialmente relevantes desde el punto de vista de seguridad y gobierno.
| Categoría | Ejemplos | Valor de seguridad |
|---|---|---|
| Autenticación | Inicios de sesión, fallos, bloqueos, cambios de credenciales | Detectar abuso, fuerza bruta o uso indebido |
| Acceso a datos | Consultas sobre tablas o vistas sensibles | Rastrear exposición y actividad inusual |
| Modificaciones | INSERT, UPDATE, DELETE sobre objetos críticos | Investigar fraude, manipulación y errores |
| Cambios administrativos | Creación de usuarios, roles, permisos, configuraciones | Controlar privilegios y alteraciones del entorno |
| Eventos del sistema | Reinicios, fallos del motor, cambios de servicio | Correlacionar incidentes técnicos y operativos |
No todo registro cumple el mismo propósito. Conviene diferenciar al menos dos grandes tipos de información.
Ambos tipos se complementan. Un fallo en una consulta puede ser un problema técnico o una señal de abuso. Un cambio administrativo puede explicar una caída o una alteración posterior del comportamiento del sistema. Por eso, aislar completamente estas visiones suele empobrecer la investigación.
Un log tiene valor cuando ofrece contexto suficiente para interpretar el evento. Registrar apenas que "algo ocurrió" rara vez alcanza para investigar con precisión.
Un evento útil suele incluir, cuando el caso lo justifica:
Uno de los desafíos más comunes es encontrar un equilibrio entre registrar demasiado poco y registrar demasiado sin criterio. Si faltan eventos clave, la investigación queda ciega. Si se acumulan cantidades masivas de registros irrelevantes, se vuelve difícil identificar lo importante, aumentan costos y se degrada la capacidad de respuesta.
Una estrategia madura prioriza:
La meta no es capturar todo indiscriminadamente, sino capturar lo necesario para mantener visibilidad razonable sobre el riesgo real.
Los registros solo son confiables si están protegidos. Si una cuenta privilegiada puede alterarlos, borrarlos o sobrescribirlos sin control, su valor como evidencia se reduce drásticamente.
Por eso, una estrategia seria de logging debe considerar también:
La protección de logs es parte de la seguridad, no una tarea meramente administrativa.
La utilidad de un registro también depende de cuánto tiempo se conserva. Si los eventos críticos se sobrescriben demasiado pronto, la capacidad de investigar incidentes detectados tardíamente desaparece.
Al definir retención conviene considerar:
Una retención muy corta reduce trazabilidad. Una retención indefinida sin criterio puede elevar costos, riesgo de exposición y complejidad operativa. La decisión debe ser intencional y documentada.
No todos los cambios merecen el mismo nivel de seguimiento. En tablas o procesos sensibles, la capacidad de reconstruir quién modificó qué y en qué momento puede ser fundamental para investigar fraude, errores o abuso.
Esto es especialmente importante en escenarios como:
La trazabilidad sobre estos eventos no solo ayuda a responder incidentes, sino también a disuadir conductas indebidas por el conocimiento de que existe visibilidad real.
Una investigación madura rara vez se resuelve solo con logs de un único nivel. En muchos casos es necesario correlacionar eventos de aplicación, API, infraestructura y base de datos para entender el contexto completo.
Por ejemplo, un acceso anómalo a una tabla puede entenderse mejor si se lo vincula con:
Las cuentas administrativas, técnicas elevadas o de emergencia merecen atención especial. Por definición, tienen capacidad de alterar configuraciones, permisos, estructuras o grandes volúmenes de información, por lo que su actividad debe quedar mejor trazada que la del resto.
Una práctica madura suele incluir:
La visibilidad sobre privilegios altos es clave porque muchas brechas graves se apoyan justamente en abuso o compromiso de este tipo de cuentas.
La auditoría no debe verse solo como una reacción a incidentes. También sirve para identificar debilidades estructurales y ajustar controles antes de que ocurra un problema mayor.
Los registros pueden mostrar, por ejemplo:
En este sentido, la auditoría también es una herramienta de madurez operativa.
Una plataforma de datos segura necesita visibilidad real sobre lo que ocurre en ella. La auditoría, el logging y la trazabilidad aportan esa visibilidad y permiten transformar eventos dispersos en evidencia útil para detección, investigación y gobierno.
En el próximo tema estudiaremos el monitoreo de actividad, la detección de anomalías y las alertas de seguridad, que utilizan en gran medida esta base de registros para identificar comportamientos sospechosos en tiempo oportuno.