Kif tiddisinja audit log għal snin ta' traċċabbiltà?

Question

IT Interview Practice · Accepted Answer

Agħmlu **append-only u immutabbli**, orbot kull entrata ma' ta' qabel b'**hash** biex it-tampering ikun detectabbli, **ippartizzjona skont il-ħin** biex data qadima toħroġ bl-irħis, u arkivja partitions issiġillati lejn **WORM object storage** (write-once) b'retention policy — qatt ma tħalli `UPDATE`/`DELETE` fuq records live.

```text
service ──emit event──▶ append-only writer
                             │  hash = H(prev_hash || payload)
                             ▼
                     audit_2026_07 (hot partition)  ◀── query by actor/time
                             │ month sealed
                             ▼
                     WORM object store (S3 Object Lock)  ── retention: 7y
                             │
                     periodic anchor: publish latest hash externally
```

## Append-only u tamper-evidence

Il-valur kollu ta' audit log huwa li tista' **tafdah aktar tard**, allura s-schema jrid jipprojbixxi mutazzjoni. Agħti lill-app `INSERT` biss — ebda `UPDATE`/`DELETE` — u nfforzah fil-livell tar-rwol tad-DB, mhux biss fil-kodiċi. Fuq dan, ibni **hash chain**: kull row jaħżen `hash = SHA256(prev_hash || this_row)`. Ibdel kwalunkwe row storiku u kull hash sussegwenti jinkiser, allura t-tampering huwa *detectabbli* anke minn xi ħadd b'aċċess għad-DB. Perjodikament **anchor** l-aħħar hash x'imkien li ma tikkontrollax (notar, public ledger, email iffirmat) biex anke admin li jerġa' jikteb il-chain kollu ma jkunx jista' jaqbel mal-valur ankrat.

## Time partitioning u retention

Logs ta' ħafna snin jikbru bla limitu, allura **ippartizzjona skont il-ħin** (eż. monthly range partitions). Benefiċċji: il-queries jiffiltraw skont il-partition, u l-irtirar ta' data qadima huwa `DETACH`/`DROP PARTITION` ta' metadata — istantanju, mhux `DELETE` ġgant li jonfoħ it-table. Partitions issiġillati jiċċaqilqu lejn **WORM storage** — S3 Object Lock f'*compliance mode* jipprevjeni fiżikament it-tħassir sad-data tar-retention, u jissodisfa regolamenti bħal SOX/HIPAA. Żomm xhur reċenti hot f'Postgres għal queries mgħaġġla; kull ma huwa eqdem huwa cold f'object storage, interrogat fuq talba.

## Perspettiva tal-intervista

Il-gwarba hija jekk tifhimx li "audit log" ifisser **immutabbiltà u provabbiltà**, mhux biss "table b'timestamp". Tajjeb: append-only table. Eċċellenti: append-only *infforzat mir-rwol tad-DB*, hash chain b'anchoring estern, time partitioning għar-retention, WORM għall-konformità. Nassa komuni: li taħżen rows tal-audit fl-istess mutable app table (bug jew DBA malizzjuż jista' jerġa' jikteb l-istorja b'mod siekt) — l-awdituri jirrifjutawh.

## Trade-offs u modi ta' fallimenti

- **Hash chain jissereljalizza l-writes** — kull entrata teħtieġ il-hash ta' qabel, allura disinn naïve joħloq bottleneck. Agħmel batch tal-entrati jew chain għal kull shard u cross-link perjodikament.
- **Il-ħżin jikber għal dejjem**; mingħajr partitioning + tiering lejn object storage irħis, il-kost u l-latenza tal-query jisplodu.
- **WORM compliance mode huwa irriversibbli** — retention setting ħażin jissakkar id-data (jew iħalliha tiskadi) mingħajr undo; ittestja f'governance mode l-ewwel.
- **Clock skew / events barra mill-ordni** jikkorrompu r-raġunament ibbażat fuq il-ħin — irreġistra kemm event time kif ukoll ingest time, u qatt ma tafda l-clocks tal-klijent għall-ordni.

Append-only u tamper-evidence

Time partitioning u retention

Perspettiva tal-intervista

Trade-offs u modi ta' fallimenti

Mistoqsijiet relatati