O registro de auditoria: a resposta a "quem fez", não a "o que aconteceu"

Monitoração e registro de auditoria são duas coisas diferentes, e são confundidas. A monitoração responde "o que aconteceu": o disco encheu, um serviço caiu, a carga subiu. O registro de auditoria responde quem fez. O valor do segundo aparece nos dias que você espera que não cheguem.

Três momentos

Algo mudou e ninguém lembra de ter mudado. A resposta geralmente é "você, três semanas atrás", e isso é um alívio mais do que uma acusação: uma mudança desconhecida incomoda muito mais do que uma conhecida.

Duas pessoas trabalham na mesma máquina e cada uma supõe que foi a outra. Nessa situação a única coisa que encerra a discussão é o registro.

Algo deu realmente errado e você precisa da ordem dos acontecimentos. O estado final diz o que aconteceu; a ordem diz como. Sem o segundo, a mesma coisa se repete.

"Foi o root" não é uma resposta

Se todo mundo entra com a mesma conta, o nome no registro é o mesmo para todos. O registro continua respondendo "o que aconteceu", mas para de responder "quem fez". É por isso que um registro de auditoria é irrelevante numa instalação de uma pessoa e vira crítico no dia em que chega a segunda.

O que não deve estar no registro

O corpo da requisição. Senhas, chaves e tokens passam por ali. Um registro que captura tudo significa um lugar novo onde os seus segredos moram, e esse lugar costuma ser menos protegido porque conta como "só um log".

Um registro de auditoria precisa de cinco coisas: quem, o quê, quando, sobre o quê e o resultado. Quando quiser acrescentar uma sexta, pergunte antes se ela carrega um segredo.

Onde ele fica decide se é prova

Um registro que só a aplicação pode escrever e reescrever é um diário, não uma prova. Se a própria aplicação for comprometida, ela conserta o registro também.

Por isso o registro precisa cair também onde a aplicação não alcança. O registro do próprio sistema existe para isso: a aplicação escreve lá mas não consegue apagar de lá.

Retenção

Um registro de auditoria guardado por três dias responde "quem fez ontem" e nada mais. Mas a maioria dessas perguntas chega semanas depois, porque o efeito de uma mudança em geral não aparece na hora. Guarde o registro de auditoria com uma lógica diferente da dos seus backups: ocupa pouco e continua valioso por muito tempo.

O que o Atlas faz

O Atlas escreve no registro de auditoria apenas cinco coisas: quem, o quê, quando, sobre o quê, resultado. O corpo da requisição nunca é escrito, porque uma requisição de acesso carrega uma senha e não há benefício nenhum em essa senha existir uma segunda vez num arquivo de log.

O registro cai em dois lugares ao mesmo tempo. Um é o registro do próprio sistema: o Atlas escreve lá mas não consegue tirar de lá nem alterar. O outro é um arquivo na pasta de dados do produto que as atualizações não apagam. Ou seja, você não precisa descer até o registro do sistema para ler, mas ele está lá quando for preciso.

Um detalhe pequeno mas significativo: o carimbo de tempo é escrito bem no fim do registro. Assim, mesmo que o lado que cria o registro passe um carimbo próprio, ele não consegue sobrescrever. Hoje nada tenta isso, mas num registro de auditoria a ordem estar certa faz parte da natureza da coisa.

E as requisições recusadas também são registradas, não só as que rodaram. Então a informação "alguém tentou e não deu" também fica no registro; na maioria das vezes é justamente essa a frase que você procurava.