Grabación y auditoría

Cada sesión privilegiada que pasa por el broker queda registrada, y las de terminal y escritorio se graban de principio a fin. Esta página explica qué evidencia queda y cómo se usa para supervisar en directo y para auditar.

Qué se graba

• Sesiones de terminal y de escritorio, completas: la terminal de SSH y de kubectl exec, y la pantalla de RDP y VNC.
• Quién y desde dónde: la persona, la cuenta con la que entró, la dirección desde la que se conectó y, si quedó retenida, a qué esperaba.
• Qué se ejecutó: los procesos y los comandos sudo, con las decisiones tomadas durante la sesión.

Todo se presenta en una sola línea de tiempo junto a la grabación. Un ejemplo de lo que contiene:

Hora	Evento	Detalle
10:02	Conexión	El broker registra la persona, la cuenta y la dirección
10:05	Proceso iniciado	psql, detectado por el agente de la máquina
10:33	sudo permitido	apt install, aprobado por una persona
10:41	sudo rechazado	su, rechazado por una regla de la política de control
10:44	Sesión cerrada	La grabación queda guardada y la contraseña se cambia

Los procesos y los comandos sudo aparecen cuando instalas el agente en las máquinas. En las bases de datos y las aplicaciones web, el broker registra la conexión pero no graba su contenido.

Supervisión en directo

PAM > Sessions muestra quién está dentro, en qué máquina, desde dónde y desde cuándo. Una sesión en curso se puede ver mientras ocurre y terminar al instante. Consulta Sesiones y grabaciones.

Evidencia para auditorías

La grabación y su línea de tiempo son la evidencia del acceso: no hacen falta capturas de pantalla. Además, Ironchip guarda:

Registro	Dónde se consulta
Solicitudes y su estado	PAM > Approvals (pendientes) y PAM > My access (las propias)
Grabaciones y su línea de tiempo	PAM > Recordings
Contraseñas entregadas (checkout y break-glass)	PAM > Checkouts
Revelados de las contraseñas del equipo	Options > Record en cada contraseña de PAM > Passwords
Peticiones de cada workload a los secretos	Pestaña Activity del workload en PAM > Secrets > Workloads

Sirven para responder a lo que piden normativas como ENS, NIS2 o DORA sobre quién accedió, cuándo, con qué autorización y qué hizo. Para llevar los eventos de la plataforma a tu SIEM, consulta Integración con un SIEM.

Más información

• Aprobación: cómo se decide cada acceso.
• Bóveda de credenciales: qué queda registrado de cada credencial.
• Conectarse a un recurso: la sesión vista por quien se conecta.