Mejores Prácticas de Registro

El registro de PostgreSQL admite la seguridad, la optimización del rendimiento y la respuesta a incidentes. Estas reglas equilibran el valor forense frente al costo de disco y SIEM para PostgreSQL 18.4 en entornos autogestionados y en la nube.

Cómo Usar Esta Lista

• Aplica al aprovisionamiento del clúster y después de cualquier incidente de volumen de registros.
• Combina con Conceptos Básicos de Registro para nombres de GUC.
• Revisa la retención contra los requisitos de retención legal anualmente.

A - Estructura y Envío

• csvlog o jsonlog con logging_collector activado. No solo stderr sin procesar en producción.
• log_line_prefix incluye usuario, db, app, IP del cliente, ID de sesión. Marcas de tiempo UTC.
• Los registros se envían fuera del host en menos de 5 minutos. Filebeat, Fluent Bit, Vector o exportación en la nube.
• Se monitorea el retraso del remitente. Alerta si la cola > 15 minutos.
• Índice o bucket separado para auditoría vs depuración. Retención y RBAC diferentes.

B - Qué Registrar

• log_connections y log_disconnections activados. Auditoría de sesión base.
• log_statement = ddl. Todos los cambios de esquema capturados.
• log_min_duration_statement ajustado (500-1000ms OLTP). No log_statement=all.
• log_lock_waits activado durante ventanas de migración. Opcional siempre activado para sistemas críticos.
• pgaudit con ámbito para tablas reguladas. No lectura global en todas las tablas.
• Se registra la duración de los checkpoints y autovacuum en un umbral razonable.

C - Disciplina de Aplicación

• application_name establecido por servicio y pool. Identifica al propietario en cada línea.
• Solo consultas parametrizadas. Previene PII literal en registros de errores.
• Los registros de la aplicación nunca duplican SQL completo con secretos. Referencia queryid o trace id.
• GUC de sesión para actor humano en triggers de auditoría. Forzado por middleware.
• Oculta contraseñas DSN en manifiestos de orquestador. Solo secretos de bóveda.

D - Retención y Cumplimiento

• Retención activa mínima de 30-90 días. Tibia/fría según regulación.
• Procedimiento de retención legal documentado. Pausa TTL en etiqueta de incidente.
• Simulacro de búsqueda de registros trimestral. Demuestra que la consulta para un usuario/tabla de muestra funciona.
• WORM o Bloqueo de Objetos en el bucket de archivo. Resistencia a la manipulación.
• Acceso a SIEM restringido y auditado. No toda la organización de ingeniería.

E - Volumen y Seguridad

• Alerta de disco sobre volumen de registros separado de PGDATA. Umbral del 85%.
• No log_statement=all sin aprobación de ejecución. Solo depuración con tiempo limitado.
• Rota y comprime archivos locales. Límites de tamaño/edad de logging_collector establecidos.
• Exportación posterior al incidente antes de que la rotación elimine la evidencia.
• Versión del analizador jsonlog fijada en CI. Pruebas de deriva de esquema en línea de muestra.

Preguntas Frecuentes

Relacionados

• Conceptos Básicos de Registro - Inicio de GUC
• csvlog y Registros JSON - Canalización SIEM
• pgaudit y Registro de Cumplimiento - Ámbito de auditoría
• Consultas Forenses - Investigación
• Mejores Prácticas de Monitoreo - Emparejamiento de métricas

Versiones de pila: Esta página fue escrita para PostgreSQL 18.4 (estable 18, mantenimiento 17), pgvector 0.8+, PgBouncer 1.x, Patroni 3.x, y PostGIS 3.5+.