Inicio
Centro de Conocimiento
Historial de Actividades de la Base de Datos de Elasticsearch

Historial de Actividades de la Base de Datos de Elasticsearch

La Importancia Creciente de la Auditoría de Datos en la Infraestructura Moderna

A medida que las herramientas y bibliotecas de ciencia de datos se vuelven más fáciles de usar, las ideas basadas en datos se vuelven más accesibles. Elasticsearch, un potente motor de búsqueda y análisis, procesa millones de registros diariamente. Por lo tanto, mantener un historial de actividades de la base de datos de Elasticsearch de actividades importantes del servidor es esencial para las organizaciones modernas.

Elasticsearch se toma la seguridad en serio a través de múltiples iniciativas. Mantienen un programa de recompensas por errores activo en HackerOne, donde los investigadores de seguridad pueden reportar vulnerabilidades y recibir compensación por sus hallazgos. La compañía publica regularmente anuncios de seguridad y actualizaciones a través de su portal oficial de asesoría de seguridad, asegurando que los usuarios se mantengan informados sobre los riesgos potenciales y las correcciones.

¿Sabías? Las organizaciones enfrentan un costo promedio de $4.88 millones por filtración de datos en 2024. Esto hace que el registro de auditorías adecuado no solo sea una medida de seguridad, sino una necesidad financiera.

Conceptos Básicos del Historial de Actividades de la Base de Datos de Elasticsearch

Elasticsearch ofrece capacidades de auditoría integradas a través de sus características de seguridad. Estas características rastrea acciones de usuarios, cambios del sistema y patrones de acceso a datos. El sistema de auditoría monitorea los intentos de autenticación de usuarios y registra todos los eventos significativos dentro del entorno de la base de datos. A través de un cuidadoso seguimiento de operaciones de índices y modificaciones de documentos, las organizaciones pueden mantener un historial completo de actividades de la base de datos. El sistema también registra consultas de búsqueda y cambios de configuración, proporcionando una visión completa del uso de la base de datos.

Empezando con la Auditoría de Elasticsearch

La capacidad de auditoría en Elasticsearch viene como una función de prueba. Para explorar estas funciones, necesitarás activar el período de prueba de 30 días (puedes extender este período). Durante este tiempo, puedes probar las capacidades de registro de auditorías y monitoreo de actividades de usuarios. Este período de prueba ayuda a las organizaciones a entender los requisitos básicos de seguridad de su implementación de Elasticsearch.

Habilité la auditoría y ejecuté la consulta como esta (archivo bat para conveniencia):

@echo off
set "ELASTICSEARCH_URL=https://localhost:9200"
set "AUTH_CREDS=elastic:CsJZ*aYV-aUzw_8aH2Pm"
set "DOC={\"title\": \"My first document\", \"content\": \"This is some test content\", \"timestamp\": \"2024-10-22\"}"
curl --ca-native --ssl-no-revoke -X POST "%ELASTICSEARCH_URL%/test-index/_doc" ^
    -H "Content-Type: application/json" ^
    -u "%AUTH_CREDS%" ^
    -d "%DOC%"
pause

Obtuve esta salida de auditoría (6 eventos truncados):

{"type":"audit", "timestamp":"2024-10-22T19:22:23,034+0300", "cluster.uuid":"ScaTr0vuRoi1-jCkuiyk2A", "node.name":"DESKTOP-KO7CURP", "node.id":"DUwRyLqiRXWTW-RbD8JTcA", "host.ip":"127.0.0.1", "event.type":"ip_filter", "event.action":"connection_granted", "origin.type":"rest", "origin.address":"[::1]:63018", "transport.profile":".http", "rule":"allow default:accept_all"}
…
{"type":"audit", "timestamp":"2024-10-22T19:22:23,157+0300", "cluster.uuid":"ScaTr0vuRoi1-jCkuiyk2A", "node.name":"DESKTOP-KO7CURP", "node.id":"DUwRyLqiRXWTW-RbD8JTcA", "host.ip":"127.0.0.1", "event.type":"transport", "event.action":"access_granted", "authentication.type":"REALM", "user.name":"elastic", "user.realm":"reserved", "user.roles":["superuser"], "origin.type":"rest", "origin.address":"[::1]:63018", "request.id":"PRcjusZXQYGC1ff-sWTjeA", "action":"indices:admin/mapping/auto_put", "request.name":"PutMappingRequest"}

Cuando haces una solicitud de inserción de un solo documento a Elasticsearch, esto desencadena múltiples operaciones internas porque Elasticsearch realiza varios pasos para asegurar el manejo adecuado de datos, seguridad y consistencia. He aquí por qué ves 8 eventos:

Verificación de conexión (ip_filter) – Seguridad básica de red
Autenticación de usuario (rest) – Verificación de tus credenciales
Permiso de escritura en el índice – Verificación de si puedes escribir en el índice
Operaciones de escritura en bloque (4 eventos) – Elasticsearch usa internamente operaciones en bloque incluso para inserciones de un solo documento:

Permiso inicial de escritura en bloque
Solicitud de fragmento en bloque
Creación de ítem en bloque
Procesamiento del fragmento en bloque

Actualización de mapeo – Actualización automática del esquema para la nueva estructura de documento

Esto es un comportamiento normal porque:

Las verificaciones de seguridad ocurren a múltiples niveles (red, autenticación, permisos)
Escribir datos involucra tanto el fragmento primario como los fragmentos de réplica
La inserción de documentos puede requerir actualizaciones de esquema/mapeo
Elasticsearch optimiza las operaciones de documentos individuales usando su infraestructura de operaciones en bloque

Entonces, mientras hiciste una llamada a la API, Elasticsearch realiza múltiples operaciones internas, y con el registro de auditoría configurado en “_all”, ves todos estos pasos internos en el registro de auditoría.

Limitaciones del Historial de Actividades de la Base de Datos de Elasticsearch

Si bien el historial de actividades de la base de datos de Elasticsearch proporciona una cobertura de seguridad básica, vienen con limitaciones notables.

Las capacidades de monitoreo se enfocan en eventos básicos sin opciones de personalización profunda.
Desde una perspectiva de auditoría de datos, el evento más relevante para rastrear quién accedió o modificó los datos sería solo uno. Los otros 7 eventos se centran más en operaciones técnicas internas de Elasticsearch en lugar de un trail de auditoría significativo del acceso/modificación de datos. Si deseas centrarte únicamente en la auditoría de datos, es posible que desees modificar la configuración de auditoría para incluir solo eventos específicos en lugar de “_all”.
Las herramientas de reporte, aunque funcionales, pueden no cumplir con los requisitos de cumplimiento complejos.
Las organizaciones a menudo necesitan soluciones más integrales para necesidades de seguridad y cumplimiento a nivel empresarial.

Soluciones de Auditoría Mejoradas: Seguridad de Bases de Datos de DataSunrise

DataSunrise ofrece un enfoque integral para la seguridad y la auditoría de bases de datos. La plataforma opera en cinco modos distintos, cada uno equilibrando la disponibilidad de características con el impacto en el rendimiento. Esta flexibilidad permite a las organizaciones elegir la configuración perfecta para sus necesidades. La solución se integra perfectamente con la infraestructura existente, minimizando la interrupción de las operaciones en curso.

Características Avanzadas y Rendimiento

La interfaz web amigable de DataSunrise hace que la gestión de la seguridad sea sencilla y eficiente. La plataforma incluye un innovador asistente de seguridad basado en LLM, entrenado en documentación extensa y casos de soporte reales. Esta herramienta con inteligencia artificial proporciona sugerencias inteligentes y respuestas automatizadas a desafíos de seguridad. El soporte para múltiples bases de datos permite una gestión centralizada de la seguridad a través de varios tipos de bases de datos.

La regla con los resultados de la consulta registrada se ve de la siguiente manera:

Consulta enviada a través del proxy de DataSunrise (puerto 9201):

@echo off
set "ELASTICSEARCH_URL=https://localhost:9201"
set "AUTH_CREDS=elastic:CsJZ*aYV-aUzw_8aH2Pm"
set "QUERY={\"query\":{\"match\":{\"content\":\"test content\"}}}"
curl --ca-native -k -X GET "%ELASTICSEARCH_URL%/test-index/_search" ^
    -H "Content-Type: application/json" ^
    -u "%AUTH_CREDS%" ^
    -d "%QUERY%"
pause

El registro de auditoría para esta transacción muestra:

Al hacer clic en la ID se revela información detallada:

Mejores Prácticas para la Implementación

La implementación exitosa de un registro de auditoría requiere una planificación y ejecución cuidadosas. Las organizaciones deben comenzar definiendo políticas claras de auditoría alineadas con los requisitos de cumplimiento. El monitoreo y revisión regular de los registros de auditoría ayuda a identificar posibles problemas de seguridad temprano. Establecer umbrales de alerta adecuados asegura una respuesta rápida a actividades sospechosas. Mantener una documentación adecuada ayuda a rastrear las medidas de seguridad y demostrar cumplimiento.

Resumen y Conclusiones

El monitoreo efectivo de la actividad de la base de datos es crucial para las organizaciones modernas. Mientras que Elasticsearch ofrece capacidades básicas de auditoría a través de su programa de prueba, soluciones integrales como DataSunrise proporcionan características de seguridad mejoradas y mejor control. La elección entre estas opciones depende de las necesidades organizacionales, los requisitos de cumplimiento y los objetivos de seguridad.

DataSunrise lidera la industria con herramientas avanzadas de seguridad de bases de datos basadas en IA. Nuestra plataforma ofrece opciones de despliegue flexibles, capacidades de auditoría integrales y características avanzadas de seguridad. Experimenta el poder de la seguridad inteligente de bases de datos: visita DataSunrise.com para una demostración en línea y ve cómo podemos fortalecer tu estrategia de protección de datos.