Registro de auditoria à prova de violação
Um registro que não pode ser reescrito silenciosamente.
Um registro que você pode editar não é evidência — é uma sugestão. O registro de auditoria do Clavitor é uma cadeia criptográfica: cada evento é hasheado no anterior, a posição da cadeia é testemunhada em infraestrutura separada, e um único passe refaz tudo para provar que nada foi alterado, excluído ou reordenado. Não é "nós prometemos que não tocamos nisso". Verifique você mesmo.
Cada ação está registrada.
Um cofre de credenciais só é tão confiável quanto o registro de quem o usou. O Clavitor registra cada leitura de credencial, cada preenchimento automático, cada solicitação de TOTP, cada login, cada alteração administrativa — e cada negação. Cada evento carrega quem, o quê, quando, de onde e como terminou.
Quem e que tipo
Cada evento é atribuído a um ator específico e marcado com o tipo de ator — humano, extensão de navegador ou agente de IA. A atividade do agente se destaca da atividade humana na mesma linha, para que um skill de coleta não possa se esconder no ruído do uso normal.
O ciclo de vida completo
Criar, ler, atualizar, excluir — e cada uso. Preenchimento automático e injeção de proxy são registrados da mesma forma que uma leitura manual. Nada toca uma credencial silenciosamente; não há caminho para um segredo que não deixe uma linha para trás.
Resultados, não apenas sucessos
Cada evento registra como terminou — sucesso, falha ou negado — com um código de motivo. Um agente bloqueado, um pico com limite de taxa, um IP recusado, um login falho: tudo registrado. Auditores se importam mais com o que foi interrompido do que com o que foi bem-sucedido.
A cadeia
Hasheado na história.
Cada linha de auditoria está ligada à anterior por um hash. Altere qualquer linha anterior — edite um campo, exclua um evento, reordene duas linhas — e todos os hashes após ela deixarão de corresponder. A adulteração não é escondida; é estrutural e é barulhenta.
# every row carries the hash of the row before it row_hash = SHA256( prev_hash | event_id | created_at | data ) # any edit, delete, or reorder breaks the recomputation # rows are append-only — never UPDATEd, never DELETEd
Este é o mesmo princípio de append-only em que todo o cofre é construído — o registro de auditoria não recebe uma versão mais fraca dele. Por que nada é sobrescrito →
Testemunhado externamente
Reescrevê-lo localmente não é suficiente.
Uma cadeia sozinha defende contra edições dentro do registro. Mas o operador que detém o disco poderia, em teoria, recalcular toda a cadeia a partir de um ponto de partida forjado. Portanto, a cadeia não vive apenas na caixa que a escreve.
A cabeça de cada cadeia de cofre é ancorada em infraestrutura separada — uma testemunha unidirecional que registra onde a cadeia estava a cada instante. Para reescrever a história de forma convincente, você teria que derrotar o registro e a testemunha, em sincronia, sem nunca discordar.
Um segundo sistema lembra a posição
O POP que escreve o registro envia sua cabeça de cadeia — sequência e hash — para o central como uma testemunha de melhor esforço. O central nunca está no caminho de escrita, então nunca pode atrasar o cofre; ele apenas se lembra do que foi dito pela última vez que a cadeia parecia.
Se o registro local ficar menor que a posição testemunhada, isso é um retrocesso. Se uma posição testemunhada retornar com um hash diferente, isso é um fork. Qualquer um deles é uma tentativa de truncamento ou reescrita — e qualquer um deles dispara um alerta do operador no momento em que é visto.
Verifique sob demanda
Uma passagem. Intacto ou quebrado.
Você não precisa acreditar na nossa palavra para nada disso. O cofre refaz a cadeia desde a primeira linha, recalcula cada hash e informa o resultado — um selo de verificação que diz intacto ou, se um único byte foi movido, quebrado. Não há âmbar, nem "provavelmente seguro". Uma verificação de segurança que falha deve falhar alto; esta o faz.
Criptografado e ainda consultável
O registro prova quem agiu — sem expor o que eles tocaram.
O registro de auditoria é criptografado em repouso com o mesmo esquema de nível de campo das credenciais que ele rastreia. Apenas as colunas estruturais — ID do evento, ID da entrada, timestamp — permanecem em texto plano, porque é tudo o que uma consulta precisa. Um disco roubado produz tokens opacos, não um mapa de seus IPs, atores e padrões de acesso.
Pivôs ainda funcionam sem entregar isso. Cada linha carrega tokens de bucket com hash chaveado, então "tudo o que este IP fez" ou "cada leitura negada" funciona como uma pesquisa indexada e descriptografa apenas as linhas correspondentes — nunca o corpus inteiro, nunca um índice em texto plano que um ladrão de disco possa ler. Você obtém a consulta. O atacante obtém ruído.
O relatório
Evidência de conformidade, sob demanda.
O registro de auditoria é uma página de primeira classe no cofre — não uma exportação que você reconstrói após o fato. Filtre por ator, entrada, IP ou intervalo de datas. Clique em qualquer célula para fazer um pivô. Ordene por qualquer coluna. Agrupe por dia, ação, resultado ou ator. Chips de faceta mostram contagens ao vivo enquanto você refina. Exporte o resultado para CSV para seu SIEM ou seu auditor.
CMMC NÍVEL 2
Evidência de auditoria e responsabilidade
Os controles NIST SP 800-171 3.3.1 (registrar o que é necessário), 3.3.2 (vincular à identidade) e 3.3.8 (proteger a integridade do log) solicitam identidade por evento, IP e timestamp, armazenados de forma protegida e resistente a adulterações. O Clavitor registra todos os três, criptografa o log e o encadeia.
SOC 2 · ISO 27001
Evidência de monitoramento, consultável
O critério de Serviços de Confiança CC7.2 e a ISO/IEC 27001 A.8.15 exigem logs de autenticação e ações privilegiadas. Cada acesso a credencial é um desses eventos — com tipo de ator, resultado carimbado, criptografado, filtrável e exportável.
HIPAA · GDPR
Responsabilidade, por design
Os controles de auditoria HIPAA §164.312(b) e as obrigações de responsabilidade do GDPR Artigo 32 são atendidos pelo mesmo log. Nenhum módulo de conformidade separado, nenhuma taxa adicional — o registro de auditoria faz parte do produto. Os planos Enterprise adicionam exportação entre cofres para seu SIEM.
A política se torna evidência.
Sem um registro confiável, toda alegação sobre controle de acesso é apenas política — "nós não olhamos", "agentes têm âmbito limitado", "nada vaza". Com um log encadeado, testemunhado e verificável, essas alegações se tornam coisas que você pode verificar. Essa é a diferença entre pedir para você confiar em nós e permitir que você nos prove.
Veja a outra metade do registro.
O registro de auditoria prova quem agiu. A imutabilidade prova que os dados sobre os quais eles agiram nunca foram alterados silenciosamente por baixo deles.