pgaudit & Registros de Conformidade

Programas de conformidade precisam de evidências: quem se conectou, quais tabelas foram lidas ou escritas, e qual DDL foi executado. O registro nativo do PostgreSQL, juntamente com a extensão pgaudit, produz linhas de auditoria estruturadas adequadas para retenção em SIEM. Esta lista de verificação abrange a habilitação, o escopo e o controle de volume para PostgreSQL 18.4.

Como Usar Esta Lista de Verificação

• Execute antes da janela de auditoria SOC2/HIPAA/PCI ou após um incidente de acesso a dados
• Comece com o escopo pgaudit.log em nível de role, expanda apenas onde os regulamentos exigirem
• Combine os logs de auditoria com o envio centralizado (veja csvlog & Registros JSON)

Extensão & Registros de Base

• pgaudit instalado e habilitado. CREATE EXTENSION pgaudit; em bancos de dados sob escopo de auditoria.
• shared_preload_libraries inclui pgaudit em instâncias auto-hospedadas; reinicie uma vez após a alteração.
• log_line_prefix inclui usuário, db, app, IP do cliente, ID da sessão. Analisável em SIEM.
• log_connections e log_disconnections ativados. Auditoria de sessão básica sem detalhes de linha do pgaudit.
• log_statement = ddl no mínimo. Captura alterações de esquema mesmo se o pgaudit estiver mal configurado.

Escopo do pgaudit

• pgaudit.log definido por role, não globalmente all. Reduz ruído e custo.
• Roles de aplicação: write ou ddl conforme necessário. OLTP frequentemente precisa de write em tabelas PII apenas via auditoria de objeto.
• Roles de administrador/migrador: ddl, role. Rastreia privilégios e alterações de esquema.
• Auditoria em nível de objeto para tabelas PII quando necessário. pgaudit.log_relation ou políticas específicas de catálogo.
• Auditoria de leitura (read class) apenas em tabelas regulamentadas. Registro de leitura completo é extremamente verboso.

Retenção & Integridade

• Logs enviados para bucket WORM ou imutável. S3 Object Lock, Azure immutable blob, ou SIEM com controles de adulteração.
• Retenção atende à política (frequentemente 1-7 anos). Bloqueios legais substituem o TTL padrão.
• Sincronização de relógio (NTP) nos hosts do banco de dados. Correlação com logs de aplicativo e IdP.
• Fluxo de log de auditoria separado dos logs de depuração. Nível de índice/retenção diferente na pilha de observabilidade.
• Acesso ao armazenamento de auditoria restrito. Analistas consultam SIEM, não superusuário de DB bruto.

Controles Operacionais

• Ações de superusuário contabilizadas. Usuários de "break-glass" em roles nomeadas, não postgres compartilhado.
• Monitoramento de login falho. Erros de conexão agregados em SIEM.
• Análise trimestral de logs de auditoria. Prove que você pode responder "quem acessou customer_email em março?"
• Alerta de volume em MB/min de log. Detecção de log_statement=all descontrolado.
• pgaudit desabilitado em testes de carga. Ou com escopo apenas para roles não produtivas.

Consultas de Verificação

-- Confirmar extensão
SELECT extname, extversion FROM pg_extension WHERE extname = 'pgaudit';
 
-- Configurações de auditoria de role
SELECT rolname, rolconfig
FROM pg_roles
WHERE rolconfig IS NOT NULL
  AND EXISTS (
    SELECT 1 FROM unnest(rolconfig) c WHERE c LIKE 'pgaudit%'
  );

FAQs

Relacionados

• Noções Básicas de Registro - log_line_prefix e volume
• Audit Triggers vs pgaudit - padrões em nível de linha
• Consultas Forenses - investigar acesso
• Noções Básicas de Segurança - separação de roles
• Melhores Práticas de Segurança - hardening mais amplo

Versões da Stack: Esta página foi escrita para PostgreSQL 18.4 (estável 18, manutenção 17), pgvector 0.8+, PgBouncer 1.x, Patroni 3.x, e PostGIS 3.5+.