Vea el estado real de sus datos, de su motor, de su cuenta AWS y de su situación fiscal

Lee

• +Estructura de la base: tablas, columnas, relaciones, índices y volumen por tabla, sin recorrer una sola fila
• +Calidad estructural: tablas sin clave primaria, relaciones que ninguna regla controla, claves foráneas sin índice, importes guardados en punto flotante
• +Espacio que ya no representa nada: copias manuales, tablas fosilizadas, índices duplicados
• +Calidad de los datos cargados, derivada de su propia estructura: filas huérfanas, duplicados, fechas imposibles. Solo conteos

No hace

• –No escribe: ni INSERT, ni UPDATE, ni DELETE, ni DDL
• –No bloquea su operación: no toma locks sobre sus tablas
• –No instala servicios ni tareas programadas

Conexiones

Sin conexiones salientes. Escribe el resultado en disco y termina. Lo que sale de su red lo decide usted, después de leerlo.

Qué necesita

• ·SQL Server 2012 o posterior, alcanzable desde la máquina donde ejecute el programa
• ·Un usuario de solo lectura (viene el script SQL para crearlo)

Lee

• +Quién manda: la cuenta sa, los logins con permisos de servidor y los permisos otorgados directamente a alguien que ya nadie recuerda
• +Quién entra sin que nadie lo haya decidido: los roles public y guest a nivel servidor y a nivel base, los miembros de los roles de cada base, y los usuarios huérfanos que dejó una restauración
• +Cómo se autentica: si los logins de SQL tienen política de contraseñas y expiración, y qué credenciales guarda el motor para salir hacia afuera
• +Qué protege los datos: cifrado de las conexiones, cifrado en disco (TDE) y sus claves, y la antigüedad del último respaldo
• +Qué queda registrado y qué corre solo: auditoría nativa del motor, trabajos del Agent, servidores vinculados, la identidad y el nivel de parche del motor, y las opciones peligrosas del servidor y de cada base

No hace

• –No prueba contraseñas: el chequeo de claves débiles no está incluido, a propósito. Leer los hashes exige CONTROL SERVER, que es permiso equivalente a sysadmin, y contradiría el usuario de solo lectura que el programa verifica contra el motor antes de arrancar. La consulta queda suelta, en docs/consulta-claves-debiles.sql, para que la corra su DBA con su propio usuario cuando quiera
• –No endurece nada: informa, no cambia una sola configuración
• –No mira el contenido de sus tablas: mira cómo está configurado el motor que las guarda
• –No es una auditoría de seguridad informática: no mira el servidor Windows o Linux, ni la red, ni sus aplicaciones o sitios, ni sus procesos. Los 18 controles leen del catálogo de SQL Server y ninguno sale del motor. Si necesita eso, escríbanos: hoy no lo cubrimos

Conexiones

Ninguna propia: corre dentro de la misma pasada del auditor de datos, que no abre conexiones salientes. Sus hallazgos salen en el mismo archivo.

Qué necesita

• ·Nada más que la auditoría de datos: el mismo usuario de solo lectura y la misma conexión
• ·Los permisos de lectura de metadata que ya otorga el script de ese usuario. Si falta alguno, el paso de verificación lo dice antes de correr

Lee

• +Identidades y accesos: usuario raíz, MFA, claves de acceso y su antigüedad, política de contraseñas, quién tiene AdministratorAccess
• +Almacenamiento: buckets públicos, cifrado, versionado, ciclo de vida, bloqueo de acceso público
• +Cómputo y red: instancias, discos, snapshots, IPs elásticas, balanceadores, grupos de seguridad abiertos a Internet, flow logs
• +Bases RDS: exposición pública, cifrado, respaldos, conexiones de los últimos 14 días
• +Registro y detección: CloudTrail, GuardDuty, AWS Config, por región

No hace

• –No modifica nada: la policy no incluye una sola acción de escritura y el preflight lo comprueba contra IAM
• –No lee el contenido de sus datos: ni objetos de S3, ni secretos, ni filas de una base
• –No recibe claves: la herramienta rechaza cualquier credencial por parámetro

Conexiones

Se conecta solo a *.amazonaws.com, con la identidad que usted le da. Las métricas de uso tienen un costo de centavos que cobra AWS; Cost Explorer queda apagado salvo que usted lo active.

Qué necesita

• ·Un rol o perfil con la policy publicada (el programa la genera; usted la crea en su cuenta). Nunca claves
• ·Cualquier máquina con ese perfil configurado: no hace falta que sea un servidor suyo

Lee

• +Su situación ante ARCA: deuda y vencimientos, buscados en las distintas fuentes oficiales y no en una sola pantalla
• +Qué encontró y qué falta verificar: cuando algo no se puede probar, se lo dice en vez de darle un verde
• +Diagnóstico y monitoreo: no es una consulta de una sola vez

No hace

• –No presenta, no paga ni firma. Verifica y avisa
• –No corre sobre su base de datos ni sobre su cuenta AWS: lo que prometen los otros tres auditores es de ellos, no de este
• –No se descarga ni se instala: no hay ejecutable, y por eso no hay hash que verificar

Conexiones

Se conecta a ARCA con su clave fiscal, en modo consulta. La clave se guarda cifrada, se usa sólo para leer, y usted la desconecta cuando quiera.

Qué necesita

• ·Su clave fiscal de ARCA, conectada una sola vez
• ·Un navegador. No se instala nada en su máquina