Come VaultPAM protegge le registrazioni delle sessioni

Una registrazione di cui non ci si può fidare non è una prova. Può mostrare attività, ma non può rispondere alle domande più difficili: è la registrazione di questa sessione, è stata modificata, chi l’ha visualizzata e la sua gestione ha seguito le regole? Per questo proteggere una registrazione non significa soltanto collocare un file nello storage. È una catena ingegneristica che inizia con l’acquisizione controllata e prosegue con crittografia, verifica dell’integrità, decisioni di accesso, conservazione e cronologia di audit. Questo articolo spiega come VaultPAM costruisce tale catena affinché una registrazione possa essere usata come prova soggetta a responsabilità, anziché trattata come un artefatto non verificato.

Per la prospettiva di audit e indagine — le domande che un revisore pone al record finale — leggete Registrazione delle sessioni come evidenza di audit. Questa è la visione complementare: come viene gestita la registrazione affinché ci si possa fidare delle prove.

Partite dal percorso di accesso controllato

La fiducia non può essere aggiunta soltanto dopo la fine di una sessione. VaultPAM acquisisce le registrazioni attraverso il suo percorso di accesso controllato, basato su browser e senza agenti, intermediando sessioni RDP, SSH, VNC e HTTP. Quel percorso fornisce il punto in cui una registrazione viene acquisita come parte della sessione privilegiata.

Questo conta perché la prova deve rimanere collegata all’attività di accesso che rappresenta. La registrazione non è semplicemente un file comodo da conservare; è un record protetto di una sessione che è passata attraverso il percorso controllato. Tutto ciò che segue è progettato attorno alla stessa domanda: un revisore può fare affidamento su questo specifico artefatto in questo specifico contesto?

Crittografate ogni artefatto e associatelo al suo contesto

A riposo, ogni artefatto di registrazione è crittografato con AES-256-GCM usando una propria chiave dati per artefatto. Si tratta di crittografia a busta: la chiave dati protegge l’artefatto, mentre un servizio dedicato di gestione delle chiavi incapsula la chiave dati. Il materiale delle chiavi non si trova mai accanto ai dati che protegge.

La separazione è intenzionale. Una registrazione contiene attività privilegiate, quindi la protezione del suo contenuto non dovrebbe dipendere dal trattare registrazione e chiave come un unico pacchetto. La crittografia a busta separa l’artefatto crittografato dal materiale delle chiavi e consente a ogni artefatto di avere la propria chiave dati. In termini semplici, l’artefatto è protetto con una chiave creata per quell’artefatto, e tale chiave è protetta separatamente.

La sola crittografia non è sufficiente se il testo cifrato può essere spostato tra contesti e accettato come se vi appartenesse. VaultPAM autentica anche i metadati contestuali come dati autenticati aggiuntivi: l’organizzazione, la registrazione, l’artefatto e il blocco. Questa è l’associazione al contesto. Se il testo cifrato viene spostato o rietichettato per un altro contesto, la decifratura fallisce.

Questa scelta protegge il significato che circonda i byte oltre ai byte stessi. Un revisore non dovrebbe dover presumere che un blocco cifrato appartenga ancora alla registrazione, all’artefatto, all’organizzazione e al contesto del blocco riportati accanto ad esso. La crittografia verifica tale relazione durante la decifratura.

Rimuovete il testo in chiaro solo dopo aver dimostrato la copia protetta

La gestione sicura ha un importante dettaglio nel percorso di scrittura: il testo in chiaro acquisito localmente non viene rimosso semplicemente perché è stato avviato un caricamento. Viene rimosso solo dopo che il caricamento crittografato è stato reso persistente e una verifica di decifratura/rilettura byte per byte è riuscita.

L’ordine è intenzionale. Evita di trattare una richiesta di caricamento come prova che l’artefatto protetto sia disponibile e leggibile. La condizione di persistenza conferma che il caricamento crittografato è stato memorizzato; il controllo di decifratura/rilettura conferma che l’artefatto crittografato può essere verificato byte per byte. Il testo in chiaro acquisito localmente viene rimosso solo dopo che entrambe le condizioni sono soddisfatte.

Questa piccola regola di sequenziamento ha una grande conseguenza probatoria. Il record protetto deve essere stabilito e controllato prima che il testo in chiaro locale venga cancellato. Altrimenti, un errore tra l’acquisizione e la persistenza crittografata verificata potrebbe lasciare un’organizzazione impossibilitata a fare affidamento sull’artefatto di registrazione previsto.

Quando i metadati di registrazione e le prove passano tra servizi interni, tali chiamate sono autenticate reciprocamente con mTLS. L’autenticazione reciproca garantisce che le parti interne che trasportano quel contesto di registrazione si autentichino a vicenda.

Rendete rilevabili le modifiche, poi rendete ripetibile la verifica

Riservatezza e integrità rispondono a domande diverse. La crittografia protegge il contenuto della registrazione a riposo. L’integrità chiede se il contenuto della registrazione rimane coerente con la sessione registrata.

VaultPAM protegge il contenuto delle registrazioni con una catena hash SHA-256 sui blocchi di registrazione. Conserva manifesti di integrità durevoli e uno strumento di verifica senza connessione può ricontrollare qualsiasi registrazione. Insieme, questi elementi offrono a chi verifica un modo ripetibile per testare l’integrità di una registrazione, anziché basarsi sull’affermazione che non sia cambiata.

La catena hash rende i singoli blocchi di registrazione parte di una verifica di integrità ordinata. Il manifesto durevole conserva le informazioni necessarie per la verifica e lo strumento senza connessione permette di eseguire nuovamente tale controllo quando serve una prova. È utile durante una revisione ordinaria, un’indagine o un audit: alla domanda sull’integrità si può rispondere con la verifica, non soltanto con la fiducia.

La registrazione RDP nativa ha una condizione aggiuntiva. È richiesto un file ausiliario di integrità dei fotogrammi e l’acquisizione fallisce se la relativa verifica non è corretta. Ciò rende l’integrità dei fotogrammi una parte obbligatoria dell’accettazione di una registrazione RDP nativa, anziché un controllo facoltativo eseguito in seguito.

Controllate chi può vedere le prove e registrate tale accesso

Una registrazione protetta può comunque creare rischi se troppe persone possono visualizzarla o esportarla. VaultPAM separa le autorizzazioni per visualizzare o riprodurre una registrazione da quelle per esportarla o scaricarla. Sono azioni distinte con decisioni di autorizzazione distinte.

Tutte le operazioni sulle registrazioni sono delimitate per organizzazione cliente. Ciò vale per le operazioni relative alle registrazioni, compreso l’accesso alle prove. Il confine è importante perché una registrazione ha significato solo nel contesto dell’organizzazione e della registrazione cui appartiene.

VaultPAM registra nel registro di audit sia gli accessi riusciti sia i dinieghi di autorizzazione. Il risultato è un principio semplice ma importante: l’accesso alle prove è esso stesso una prova. Una riproduzione o esportazione riuscita lascia un record, così come un tentativo non autorizzato. Ciò rende responsabile la revisione delle registrazioni senza sostenere che ogni persona debba potervi accedere.

Conservate le registrazioni con salvaguardie operative

La conservazione deve bilanciare la disponibilità delle prove con un ciclo di vita definito. VaultPAM offre periodi di conservazione configurabili di 30, 90, 180 o 365 giorni. Il valore predefinito è 90 giorni, con un periodo di tolleranza di 7 giorni.

La riduzione di un periodo di conservazione riceve salvaguardie aggiuntive. Richiede una nuova autenticazione rafforzata e una conferma digitata da un amministratore della piattaforma. Le eliminazioni risultanti sono sottoposte ad audit e l’eliminazione rispetta le salvaguardie di blocco legale.

Queste salvaguardie concentrano l’attenzione sulla modifica che può ridurre la disponibilità delle prove della registrazione. Una riduzione della conservazione non viene gestita come una normale modifica della configurazione: richiede un nuovo passaggio di autenticazione, una conferma digitata esplicita e il ruolo di amministratore della piattaforma. L’attività di eliminazione risultante entra nella cronologia di audit, mentre i blocchi legali rimangono una salvaguardia nel processo di eliminazione.

Cosa significa per i lettori di NIS2 e SOC 2

Per i lettori di NIS2, la mappatura della conformità di VaultPAM collega l’articolo 21, paragrafo 2, lettera a) alla traccia di audit e alla registrazione delle sessioni per tutti gli accessi privilegiati e l’articolo 21, paragrafo 2, lettera b) agli avvisi in tempo reale sulle sessioni privilegiate sospette e alla riproduzione completa delle sessioni per l’indagine sugli incidenti. I dettagli ingegneristici dell’articolo aiutano a spiegare perché una registrazione di sessione può supportare tale mappatura: il record è acquisito attraverso il percorso controllato, protetto a riposo, associato al proprio contesto e verificabile nell’integrità.

Per SOC 2, lo stato attuale è preciso: audit Type II in corso, rapporto previsto nel 2026. La protezione delle registrazioni deve essere valutata in base ai controlli dimostrabili, compresi crittografia, verifica, confini di autorizzazione, salvaguardie di conservazione e cronologia di audit, non in base a un rapporto che non è ancora stato emesso.

Per il più ampio contesto di sicurezza relativo alle protezioni delle registrazioni qui descritte, consultate la pagina sulla sicurezza di VaultPAM.

Le prove devono essere verificabili, non soltanto memorizzate

Il risultato non è la promessa che una registrazione memorizzata sia affidabile solo perché esiste. È un insieme di controlli e confini: acquisizione controllata, crittografia a busta con una chiave dati per artefatto, contesto autenticato, persistenza crittografata verificata prima della rimozione del testo in chiaro locale, verifica della catena hash, autorizzazioni di accesso distinte, operazioni delimitate per organizzazione cliente e conservazione regolata.

Questo è lo standard ingegneristico alla base di una registrazione che può avere valore probatorio. Quando la domanda riguarda ciò che è accaduto in una sessione privilegiata, la risposta dovrebbe basarsi su un record il cui contenuto, contesto, accesso e ciclo di vita possano essere tutti esaminati. È così che la registrazione delle sessioni diventa una prova su cui un’organizzazione può fare affidamento.