Contabilização (AAA).

A contabilização (accounting) no modelo AAA (autenticação, autorização e contabilização) capta e armazena registos de atividade que ligam cada ação a uma identidade verificada, fornecendo as evidências necessárias para monitorização, investigação forense, conformidade e faturação interna. Os dados típicos incluem início e fim de sessão, comandos executados, bytes transferidos e recursos acedidos. Protocolos como RADIUS, TACACS+ e Diameter definem o envio destes dados para servidores centrais, sendo agregados em plataformas SIEM e de logs. Uma contabilização sólida exige armazenamento inalterável, sincronização horária precisa e retenção alinhada com a regulamentação.

A contabilização padronizada é anterior à observabilidade moderna. A contabilização RADIUS (RFC 2866) define pacotes Accounting-Request cujo Acct-Status-Type é Start, Interim-Update ou Stop, transportando a duração da sessão e os Acct-Input/Output-Octets; o TACACS+ (RFC 8907) separa a contabilização da autenticação e da autorização, de modo que a auditoria ao nível de comandos nos routers pode ser registada de forma independente; e o Diameter (RFC 6733) moderniza o modelo para redes móveis e IMS. Na cloud, serviços como AWS CloudTrail, Azure Activity Log e Google Cloud Audit Logs desempenham o mesmo papel, registando cada chamada de API do plano de controlo com a identidade do solicitante, o IP de origem e a marca temporal.

A contabilização sustenta o não repúdio: como cada registo está associado a uma identidade autenticada, um utilizador não pode negar de forma credível uma ação. A regulamentação torna-a obrigatória — o Requisito 10 do PCI DSS exige o registo de todos os acessos aos dados de titulares de cartão, e o NIST SP 800-92 (Guide to Computer Security Log Management) fornece a orientação de implementação de referência. Como os atacantes apagam rotineiramente os logs para encobrir o rasto (MITRE ATT&CK T1070, Indicator Removal), uma contabilização robusta envia os registos para fora do host em tempo quase real para armazenamento WORM ou apenas de anexação, assina-os ou encadeia-os por hash para garantir a integridade, e sincroniza os relógios via NTP para que os eventos entre sistemas possam ser correlacionados durante a resposta a incidentes.

flowchart LR
  U[Utilizador / dispositivo] -->|ação| N[Dispositivo de rede ou aplicação]
  N -->|Accounting-Request RADIUS / TACACS+| S[Servidor AAA]
  S --> L[(Armazenamento de logs inalterável)]
  L --> M[Correlação SIEM]
  M --> R[Auditoria / faturação / forense]