Auditoria de acessos#

A tela de Segurança e sessões mostra quem está conectado agora. Esta mostra o histórico: o que já aconteceu, inclusive as tentativas que não passaram. São perguntas diferentes, e a segunda é a que uma auditoria faz.

Acessos e falhas na mesma lista#

De propósito. A sequência é o que interessa, e ela some quando as duas coisas ficam em telas separadas.

Cinco falhas seguidas de um endereço e, logo depois, uma entrada bem-sucedida do mesmo endereço contam uma história. Em duas listas, são dois fatos sem relação aparente.

Como fazer#

1. Vá em Configurações → Auditoria de acessos.
2. Filtre por período, tipo de evento ou pelo termo que você procura.
3. Leia em ordem, não por linha isolada.

O que procurar#

Sequência de falhas seguida de sucesso. É o padrão de senha adivinhada. Se aparecer, troque a senha daquele usuário, encerre as sessões dele e veja o que foi feito depois.

Acesso em horário improvável. Entrada às 3h da manhã de quem trabalha das 8h às 18h merece uma pergunta.

Acesso de origem inesperada. Endereço de outro estado ou país, quando toda a equipe trabalha no mesmo lugar.

Muitas falhas de um endereço só, sem sucesso. É varredura automatizada, e é ruído normal da internet. O Fail2Ban cuida disso — veja Firewall e redes permitidas.

O que fazer quando encontrar#

1. Encerre as sessões daquele usuário — veja Segurança e sessões.
2. Troque a senha e ative o segundo fator.
3. Veja o que foi feito no período: conversas abertas, exportações, alterações de configuração.
4. Anote os horários antes de qualquer coisa: eles são o que permite reconstruir o que aconteceu.

Este registro é prova#

Ele é o que responde "quem fez isso?" quando algo dá errado — e responde tanto a favor quanto contra alguém. Por isso duas regras:

Um usuário por pessoa. Usuário compartilhado torna toda esta tela inútil, porque nenhum registro consegue dizer quem estava usando a conta. Veja Usuários.

Restrinja quem pode limpar ou exportar. Registro que qualquer um pode apagar não é prova de nada.

Se algo der errado#

Um acesso que você não reconhece. Confirme com a pessoa antes de concluir: trabalho de casa, celular e rede móvel produzem origens inesperadas legítimas.

A lista está enorme. Use os filtros de período e tipo. Varredura automatizada produz milhares de linhas.

Você não encontra o evento que procura. Confira o período e o fuso.

Um usuário aparece com acessos depois de desligado. Sessão que continuou válida. É o passo que costuma faltar no desligamento — desativar não derruba sessão aberta.