Cómo auditar MongoDB

Auditar MongoDB es esencial para organizaciones que manejan datos sensibles o regulados. Permite rastrear las acciones de los usuarios, detectar anomalías y cumplir con normativas como GDPR y HIPAA. Esta guía cubre la configuración de auditoría nativa de MongoDB — disponible en la edición Enterprise de MongoDB — y las mejoras con DataSunrise, junto con estrategias para el monitoreo en tiempo real, enmascaramiento dinámico, descubrimiento y cumplimiento.

Por qué importa la auditoría

Los registros de auditoría son la columna vertebral forense de la seguridad de las bases de datos. Registran quién accedió a qué, cuándo y cómo. Esta información ayuda en investigaciones, confirma el cumplimiento con las regulaciones de protección de datos y respalda la transparencia operativa. Sin auditoría, las acciones maliciosas podrían permanecer ocultas hasta que se cause un daño significativo. Esto es especialmente importante en industrias como la financiera, la salud y el gobierno, donde las brechas pueden ocasionar sanciones regulatorias, pérdida de reputación e interrupciones operativas.

Configuración de la auditoría nativa de MongoDB (Enterprise)

El sistema de auditoría nativa de MongoDB está disponible únicamente en MongoDB Enterprise y MongoDB Atlas. Registra los eventos de la base de datos mediante filtros flexibles. Para habilitar la auditoría, edite mongod.conf con el destino de log deseado, el formato de salida y los filtros de eventos:

auditLog:
  destination: file
  format: BSON
  path: /var/log/mongodb/auditLog.bson
  filter: '{ atype: { $in: ["createCollection", "update", "insert", "remove"] } }'

Inicie MongoDB con:

mongod --config /etc/mongod.conf

Convierta los registros BSON a JSON para su análisis:

bsondump /var/log/mongodb/auditLog.bson > auditLog.json

Ejemplos de Configuración

Inicie con banderas de línea de comandos:

mongod \
  --auditDestination file \
  --auditFormat BSON \
  --auditPath /var/log/mongodb/auditLog.bson \
  --auditFilter '{ atype: { $in: ["insert","update","remove"] } }' \
  --config /etc/mongod.conf

Envíe eventos de auditoría a syslog:

auditLog:
  destination: syslog
  format: JSON
systemLog:
  destination: syslog
  verbosity: 0

Filtrar por espacio de nombres:

auditLog:
  destination: file
  format: JSON
  path: /var/log/mongodb/audit.json
  filter: '{ "param.ns": { $regex: "^sales\\." }, atype: { $in: ["insert","update","remove"] } }'

Filtrar acciones administrativas para un usuario:

auditLog:
  destination: file
  format: JSON
  path: /var/log/mongodb/audit-admin.json
  filter: '{ "users.user": "admin", atype: { $in: ["createUser","updateUser","grantRolesToUser","dropUser","authCheck"] } }'

Ejemplo de evento Atlas/Enterprise:

{
  "atype": "createUser",
  "ts": { "$date": "2025-08-15T11:04:12.901Z" },
  "local": { "ip": "127.0.0.1", "port": 27017 },
  "remote": { "ip": "192.0.2.15", "port": 56024 },
  "users": [{ "user": "admin", "db": "admin" }],
  "param": { "db": "sales", "user": "reporter", "roles": [{ "role": "read", "db": "sales" }] },
  "result": 0
}

El filtrado avanzado permite dirigirse a usuarios, roles u operaciones específicas. Para la configuración en tiempo de ejecución:

db.adminCommand({
  setParameter: 1,
  auditAuthorizationSuccess: true
})

Consulte la Documentación de registros de auditoría de MongoDB y la Guía de Registro de Auditoría de Percona.

Monitoreo en Tiempo Real

La auditoría nativa a menudo se emplea para revisiones posteriores a incidentes. Combínela con el Monitoreo de Actividades de Bases de Datos para detectar acciones sospechosas al instante, bloquear consultas riesgosas y enviar alertas a través de canales integrados.

DataSunrise mejora la auditoría nativa con soporte centralizado para múltiples bases de datos, reglas personalizables y aplicación en tiempo real. Despliegue como un proxy inverso, defina las acciones a monitorear, configure notificaciones y actívelo.

Enmascaramiento, Cumplimiento y Descubrimiento

El enmascaramiento dinámico oculta campos sensibles sin alterar los datos almacenados. El descubrimiento de datos escanea las colecciones en busca de campos sensibles, permitiendo auditorías específicas. Para cumplir con PCI DSS, SOX o HIPAA, DataSunrise mapea las políticas de auditoría a las regulaciones, genera informes y automatiza su entrega.

Ejemplo Combinado

Una empresa minorista utiliza la auditoría nativa para registrar actualizaciones de precios y DataSunrise para bloquear cambios excesivos, enmascarar datos de proveedores y alertar a los gerentes. Mantenga los filtros específicos para reducir la carga, asegure los registros, automatice las revisiones con SIEM, integre con la detección de amenazas y pruebe las configuraciones regularmente. Consulte el manual de auditoría de MongoDB y la Documentación de Seguridad de Atlas.

Tabla Comparativa de Funcionalidades

Conclusión

Saber cómo auditar MongoDB implica utilizar la auditoría Enterprise para obtener detalles y DataSunrise para la prevención, el enmascaramiento y la automatización del cumplimiento. Juntos, crean un enfoque robusto y en capas para la seguridad de las bases de datos.