Il registro di controllo: la risposta a "chi è stato", non a "che cosa è successo"

Sorveglianza e registro di controllo sono due cose diverse, e vengono confuse. La sorveglianza risponde a "che cosa è successo": il disco si è riempito, un servizio è caduto, il carico è salito. Il registro di controllo risponde a chi è stato. Il valore del secondo compare nei giorni che speri non arrivino mai.

Tre momenti

Qualcosa è cambiato e nessuno ricorda di averlo cambiato. La risposta di solito è "tu, tre settimane fa", ed è un sollievo più che un’accusa: un cambiamento sconosciuto inquieta molto più di uno conosciuto.

Due persone lavorano sulla stessa macchina e ciascuna presume sia stata l’altra. In quel caso l’unica cosa che chiude la discussione è il registro.

Qualcosa è andato davvero storto e ti serve l’ordine degli eventi. Lo stato finale ti dice che cosa è successo; l’ordine ti dice come. Senza il secondo, la stessa cosa si ripete.

"È stato root" non è una risposta

Se tutti entrano con lo stesso account, il nome nel registro è lo stesso per tutti. Il registro continua a rispondere a "che cosa è successo" ma smette di rispondere a "chi è stato". Ecco perché un registro di controllo è irrilevante in un impianto di una sola persona e diventa critico il giorno in cui arriva la seconda.

Che cosa non deve stare nel registro

Il corpo della richiesta. Password, chiavi e token passano di lì. Un registro che cattura tutto significa un nuovo posto in cui vivono i tuoi segreti, e quel posto di solito è meno protetto perché conta come "solo un registro".

Un registro di controllo ha bisogno di cinque cose: chi, che cosa, quando, su che cosa e il risultato. Quando vuoi aggiungerne una sesta, chiediti prima se porta un segreto.

Dove sta decide se è una prova

Un registro che solo l’applicazione può scrivere e riscrivere è un diario, non una prova. Se l’applicazione stessa viene compromessa, sistema anche il registro.

Per questo il registro deve finire anche dove l’applicazione non arriva. Il registro proprio del sistema esiste per questo: l’applicazione ci scrive ma da lì non può cancellare.

Conservazione

Un registro di controllo tenuto tre giorni risponde a "chi è stato ieri" e a nient’altro. Ma la maggior parte di queste domande arriva settimane dopo, perché l’effetto di un cambiamento di solito non si vede subito. Conserva il registro di controllo con una logica diversa da quella dei backup: occupa poco e resta prezioso a lungo.

Che cosa fa Atlas

Atlas scrive nel registro di controllo solo cinque cose: chi, che cosa, quando, su che cosa, risultato. Il corpo della richiesta non viene mai scritto, perché una richiesta di accesso porta una password e non c’è alcun vantaggio nel fatto che quella password esista una seconda volta in un file di registro.

Il registro finisce in due posti insieme. Uno è il registro proprio del sistema: Atlas ci scrive ma da lì non può prendere né modificare. L’altro è un file nella cartella dati del prodotto che gli aggiornamenti non cancellano. Non devi quindi scendere nel registro di sistema per leggerlo, ma quando serve è lì.

Un dettaglio piccolo ma significativo: la marca temporale viene scritta proprio alla fine della voce. Così, anche se chi crea la voce passa una propria marca temporale, non può sovrascriverla. Oggi nessuno ci prova, ma in un registro di controllo l’ordine corretto appartiene alla natura della cosa.

E vengono registrate anche le richieste rifiutate, non solo quelle eseguite. L’informazione "qualcuno ha provato e non è andata" sta quindi anch’essa nel registro; il più delle volte è proprio la frase che cercavi.