Registre o ator, a ação, o recurso e o resultado
Registre o ator, o contexto de autenticação, a operação, o recurso-alvo, o carimbo de data e hora e o resultado. Para alterações, preserve os valores anteriores e posteriores ou referências imutáveis suficientes para reconstrução.
Inclua ações privilegiadas e mudanças de políticas
Administrative access, role changes, credentials e configurações financeiras precisam de cobertura explícita. PCI DSS Requirement 10 destaca logging e monitoring de acessos e atividades relevantes.
Proteja a evidência
Se quem executa a ação pode reescrever o record, a evidência perde valor. Use armazenamento append-oriented, retention control, integrity protection e acesso administrativo restrito.
Permita consultar os registros durante as investigações
Projete identificadores e campos de correlação para percorrer o caminho do cliente, pagamento, chave de API, usuário ou alteração de configuração até a cadeia completa de eventos.
Decida quais eventos precisam de qualidade de evidência
Os registros da aplicação otimizam a depuração; os registros de auditoria otimizam a responsabilização. Nem todo evento de depuração precisa de retenção longa, e nem todo evento de auditoria precisa de rastreamento da pilha. Identifique ações que alteram o acesso, a configuração, o estado financeiro, a postura de segurança ou as evidências. Esses eventos precisam de esquemas estáveis e retenção adequada ao risco e ao ambiente regulatório.
Exemplos: alterações de função/permissão, ciclo de vida de chaves de API, aprovações de pagamento ou reembolso, alterações na política de roteamento, acesso a dados sensíveis, substituições manuais, eventos de login/segurança e ações administrativas. A lista depende do produto, mas deve ser intencional.
Registre contexto suficiente para reconstruir a autorização
Saber que o usuário 123 alterou uma configuração não basta se não sabemos qual locatário, conta, política e recurso estavam envolvidos. Registre a identidade de quem agiu, o método de autenticação quando pertinente, o contexto do locatário, a ação, o alvo, os atributos principais, o resultado e os IDs de correlação. Em sistemas orientados por políticas, a versão da política/configuração pode ser essencial para explicar por que a ação foi permitida.
Evite dados sensíveis desnecessários no registro de auditoria. As evidências devem identificar a ação sem se tornar uma segunda cópia descontrolada de credenciais ou dados pessoais. Use referências, hashes ou valores ocultados quando forem suficientes.
Proteja a integridade e a separação administrativa
Um audit trail é fraco se administradores comuns podem editá-lo ou apagá-lo sem deixar evidência. Use write paths e storage controls que dificultem modificação silenciosa, limite quem gerencia retention e registre ações administrativas sobre o próprio audit system.
A retenção deve ser explícita. A retenção infinita aumenta os riscos à privacidade e ao armazenamento; a retenção curta demais enfraquece as investigações. Alinhe-a às necessidades regulatórias, contratuais e operacionais e documente as exceções.
Projete as consultas de investigação antes do incidente
Imagine perguntas como: quem alterou esta regra de roteamento, quais transações foram afetadas e essa pessoa tinha autorização? Quais administradores acessaram este locatário durante o incidente? Se responder exigir junções manuais em registros não estruturados, o modelo de auditoria não está operacionalmente maduro.
Defina correlation IDs e indexed fields pensando em investigações prováveis. Assim audit trail vira controle de trabalho, não arquivo que existe tecnicamente e não responde em tempo razoável.
Monitore o próprio sistema de auditoria
A capacidade de auditoria não é armazenamento passivo. Gere alertas para falhas de registro, lacunas de ingestão, quedas inesperadas de volume, alterações na retenção e acesso privilegiado ao armazenamento de auditoria. Um sistema que para de produzir evidências durante o incidente cria uma falha de controle que o tempo de atividade comum pode não detectar.
Teste periodicamente se eventos representativos podem ser recuperados e reconstruídos. Verifique qualidade da evidência antes de um audit ou security event real precisar dela.
Registre ator, ação, recurso, contexto e resultado.
Trate alterações de privilégios e políticas como eventos de primeira classe.
Proteja as evidências de auditoria.
Projete para investigações reais.