Cómo VaultPAM protege las grabaciones de sesiones
Una grabación en la que no se puede confiar no es evidencia. Puede mostrar actividad, pero no puede responder las preguntas más difíciles: ¿es esta la grabación de esta sesión?, ¿ha cambiado?, ¿quién la ha visto?, ¿se ha gestionado conforme a las reglas? Por eso, proteger una grabación es más que colocar un archivo en almacenamiento. Es una cadena de ingeniería que comienza con la captura controlada y continúa con el cifrado, la verificación de integridad, las decisiones de acceso, la retención y el historial de auditoría. Este artículo explica cómo VaultPAM construye esa cadena para que una grabación pueda utilizarse como evidencia sujeta a rendición de cuentas, en vez de tratarse como un artefacto no verificado.
Para la perspectiva de auditoría e investigación —las preguntas que un revisor plantea sobre el registro terminado—, lea La grabación de sesiones como evidencia de auditoría. Esta es la visión complementaria: cómo se gestiona la grabación para que se pueda confiar en la evidencia.
Comience por la ruta de acceso controlada
La confianza no se puede añadir únicamente después de que termine una sesión. VaultPAM captura grabaciones a través de su ruta de acceso controlada, sin agentes y basada en navegador, intermediando sesiones RDP, SSH, VNC y HTTP. Esa ruta proporciona el punto en el que se captura una grabación como parte de la sesión privilegiada.
Esto importa porque la evidencia debe seguir conectada a la actividad de acceso que representa. La grabación no es simplemente un archivo conveniente que conservar; es un registro protegido de una sesión que pasó por la ruta controlada. Todo lo que sigue se diseña en torno a la misma pregunta: ¿puede un revisor confiar en este artefacto concreto en este contexto concreto?
Cifre cada artefacto y vincúlelo a su contexto
En reposo, cada artefacto de grabación se cifra con AES-256-GCM mediante su propia clave de datos por artefacto. Esto es cifrado de envolvente: la clave de datos protege el artefacto, mientras que un servicio dedicado de gestión de claves envuelve la clave de datos. El material de claves nunca se sitúa junto a los datos que protege.
La separación es deliberada. Una grabación contiene actividad privilegiada, de modo que la protección de su contenido no debe depender de tratar la grabación y la clave como un único paquete. El cifrado de envolvente separa el artefacto cifrado del material de claves y permite que cada artefacto tenga su propia clave de datos. En términos sencillos, el artefacto se protege con una clave creada para ese artefacto, y esa clave se protege por separado.
El cifrado por sí solo no es suficiente si el texto cifrado puede trasladarse entre contextos y aceptarse como si perteneciera a ellos. VaultPAM también autentica los metadatos contextuales como datos autenticados adicionales: la organización, la grabación, el artefacto y el fragmento. Esto es vinculación de contexto. Si el texto cifrado se mueve o se vuelve a etiquetar para otro contexto, el descifrado falla.
Esta elección protege el significado que rodea a los bytes, además de los propios bytes. Un revisor no debería tener que asumir que un fragmento cifrado sigue perteneciendo a la grabación, al artefacto, a la organización y al contexto de fragmento que figuran junto a él. El cifrado comprueba esa relación durante el descifrado.
Elimine el texto sin cifrar solo después de demostrar la copia protegida
La gestión segura tiene un detalle importante en la ruta de escritura: el texto sin cifrar capturado localmente no se elimina simplemente porque se haya iniciado una carga. Solo se elimina después de que la carga cifrada se haya persistido y de que una verificación de descifrado/lectura posterior, byte por byte, haya tenido éxito.
El orden es intencionado. Evita tratar una solicitud de carga como prueba de que el artefacto protegido está disponible y puede leerse. La condición de persistencia confirma que se ha almacenado la carga cifrada; la comprobación de descifrado/lectura posterior confirma que el artefacto cifrado puede verificarse byte por byte. El texto sin cifrar capturado localmente se elimina únicamente después de que ambas condiciones se cumplan.
Esta pequeña regla de secuenciación tiene una gran consecuencia probatoria. El registro protegido debe establecerse y comprobarse antes de borrar el texto sin cifrar local. De lo contrario, un fallo entre la captura y la persistencia cifrada verificada podría dejar a una organización sin poder confiar en el artefacto de grabación previsto.
Cuando los metadatos de grabación y la evidencia se desplazan entre servicios internos, esas llamadas se autentican mutuamente con mTLS. La autenticación mutua garantiza que las partes internas que transportan ese contexto de grabación se autentiquen entre sí.
Haga detectables los cambios y repetible la verificación
La confidencialidad y la integridad responden a preguntas distintas. El cifrado protege el contenido de la grabación en reposo. La integridad pregunta si el contenido de la grabación sigue siendo coherente con la sesión registrada.
VaultPAM protege el contenido de las grabaciones con una cadena hash SHA-256 sobre los fragmentos de grabación. Mantiene manifiestos de integridad duraderos y una herramienta de verificación sin conexión puede volver a comprobar cualquier grabación. En conjunto, estos elementos ofrecen a quien verifica una forma repetible de probar la integridad de una grabación, en vez de depender de una afirmación de que no ha cambiado.
La cadena hash convierte cada fragmento de grabación en parte de una comprobación ordenada de integridad. El manifiesto duradero conserva la información necesaria para verificarla y la herramienta sin conexión permite realizar esa comprobación de nuevo cuando se necesita evidencia. Es útil durante una revisión rutinaria, una investigación o una auditoría: la cuestión de la integridad puede responderse mediante verificación, no solo mediante confianza.
La grabación RDP nativa tiene una condición adicional. Se requiere un archivo auxiliar de integridad de tramas y la ingesta falla si su verificación no es correcta. Esto convierte la integridad de tramas en una parte obligatoria de la aceptación de una grabación RDP nativa, en lugar de una comprobación opcional realizada más tarde.
Controle quién puede ver la evidencia y registre ese acceso
Una grabación protegida aún puede crear riesgo si demasiadas personas pueden verla o exportarla. VaultPAM separa los permisos para ver o reproducir una grabación de los permisos para exportarla o descargarla. Son acciones distintas con decisiones de autorización distintas.
Todas las operaciones de grabación están delimitadas por inquilino. Esto se aplica a las operaciones relativas a grabaciones, incluido el acceso a la evidencia. El límite es importante porque una grabación solo tiene significado dentro del contexto de la organización y la grabación a la que pertenece.
VaultPAM registra tanto los accesos correctos como las denegaciones de autorización en el registro de auditoría. El resultado es un principio sencillo pero importante: el acceso a la evidencia es en sí mismo evidencia. Una reproducción o exportación correcta deja un registro, al igual que un intento no autorizado. Esto hace que la revisión de grabaciones sea responsable sin afirmar que todas las personas deban poder acceder a ellas.
Conserve las grabaciones con salvaguardas operativas
La retención debe equilibrar la disponibilidad de la evidencia con un ciclo de vida definido. VaultPAM ofrece períodos de retención configurables de 30, 90, 180 o 365 días. El valor predeterminado es 90 días, con un período de gracia de 7 días.
La reducción de un período de retención recibe salvaguardas adicionales. Requiere autenticación reforzada reciente y confirmación escrita por un administrador de plataforma. Las eliminaciones resultantes se auditan y la eliminación respeta las salvaguardas de retención legal.
Estas salvaguardas centran la atención en el cambio que puede acortar la disponibilidad de la evidencia de grabación. Una reducción de retención no se gestiona como una edición ordinaria de configuración: exige un nuevo paso de autenticación, una confirmación escrita explícita y el rol de administrador de plataforma. La actividad de eliminación resultante pasa a formar parte del historial de auditoría, mientras que las retenciones legales siguen siendo una salvaguarda en el proceso de eliminación.
Qué significa esto para lectores de NIS2 y SOC 2
Para los lectores de NIS2, el mapeo de cumplimiento de VaultPAM vincula el artículo 21, apartado 2, letra a), con la pista de auditoría y la grabación de sesiones para todo acceso privilegiado, y el artículo 21, apartado 2, letra b), con alertas en tiempo real sobre sesiones privilegiadas sospechosas y la reproducción completa de sesiones para la investigación de incidentes. Los detalles de ingeniería de este artículo ayudan a explicar por qué una grabación de sesión puede respaldar ese mapeo: el registro se captura a través de la ruta controlada, se protege en reposo, se vincula a su contexto y permite verificar su integridad.
Para SOC 2, el estado actual es preciso: auditoría de tipo II en curso, informe pendiente en 2026. La protección de las grabaciones debe evaluarse por los controles que se pueden demostrar, incluidos el cifrado, la verificación, los límites de autorización, las salvaguardas de retención y el historial de auditoría, no por un informe que todavía no se ha emitido.
Para el contexto de seguridad más amplio en torno a las protecciones de grabación descritas aquí, consulte la página de seguridad de VaultPAM.
La evidencia debe poder probarse, no solo almacenarse
El resultado no es una promesa de que una grabación almacenada sea fiable simplemente porque existe. Es un conjunto de comprobaciones y límites: captura controlada, cifrado de envolvente con una clave de datos por artefacto, contexto autenticado, persistencia cifrada verificada antes de eliminar el texto sin cifrar local, verificación de cadena hash, permisos de acceso diferenciados, operaciones delimitadas por inquilino y retención gestionada.
Este es el estándar de ingeniería que sustenta una grabación que puede tener valor probatorio. Cuando la cuestión es qué ocurrió en una sesión privilegiada, la respuesta debe basarse en un registro cuyo contenido, contexto, acceso y ciclo de vida puedan examinarse. Así es como la grabación de sesiones se convierte en evidencia en la que una organización puede confiar.