Azure Cloud HSM ganha Hardware Audit Logging com trilhas de auditoria verificáveis

A Microsoft lançou o Hardware Audit Logging para o Azure Cloud HSM. O recurso coleta os registros de auditoria gerados pelo próprio HSM para as operações de gerenciamento suportadas. Entram na conta eventos de autenticação e sessão, gerenciamento de usuários e administradores, mudanças de política e configuração, e operações de backup e restore.

O ponto técnico central é a verificação independente. O cliente recebe os registros legíveis, os dados de auditoria binários assinados pelo HSM, as assinaturas e os certificados do HSM. Com isso, dá para checar criptograficamente a autenticidade e a integridade dos lotes assinados, sem depender só do texto entregue. O logging é habilitado como política imutável da partição, o que reduz o risco de desativação durante a administração de rotina. Os eventos chegam ao Azure Monitor Log Analytics e podem alimentar o Microsoft Sentinel. A retenção, o alerta, a revisão e o acesso ao ambiente de monitoramento continuam por conta do cliente. O recurso está sendo liberado nas regiões públicas do Azure Cloud HSM e já vem habilitado automaticamente em recursos novos, onde estiver disponível.

A cobertura anterior do CEVIU não mostra uma versão prévia deste recurso, então não há evolução direta do mesmo produto a comparar. Há contexto de tema próximo: em 4 de setembro de 2026, o CEVIU noticiou "Integração de Logs de Auditoria do HCP Vault Dedicated com Microsoft Sentinel via Azure e Terraform", sobre outro produto de segredos enviando auditoria ao Sentinel. E em 8 de setembro de 2026, o artigo "Integridade de Logs: Como Garantir Trilhas de Auditoria Invioláveis com Criptografia" tratou de técnicas como cadeias de hash e checkpoints assinados.

Para quem opera plataforma em setor regulado, a leitura é prática: a evidência de quem fez o quê no HSM agora nasce no hardware e pode ser verificada fora do pipeline de logs. Como a política é imutável e o recurso vem ligado em recursos novos, o trabalho passa a ser de integração: consultas no Log Analytics, regras de alerta no Sentinel, retenção e guarda dos binários assinados. Vale planejar isso como código desde o início.