Журнал аудита

Обзор

Журнал аудита записывает события, связанные с безопасностью, в платформе. Используйте его для отслеживания действий пользователей, мониторинга подозрительной активности и соответствия требованиям комплаенса.

Навигация

Меню: Система > Журнал аудита

Макет страницы

Карточки статистики

Верхняя часть страницы отображает две карточки статистики:

Карточка управления

Отдельная карточка содержит элементы управления фильтрацией и действиями:

Таблица журнала аудита

Пагинация

• Размер страницы по умолчанию: 50 записей
• Доступные размеры: 20, 50, 100, 200, 500 записей на странице
• Показывает общее количество (например, “Всего 1,234 события”)

Типы событий

События пользователей

События хостов

События учетных данных

События сканирования

События усиления

События расписаний

События настроек

Детали события

Каждое событие включает базовую информацию в колонках таблицы. Нажмите на строку для раскрытия и просмотра дополнительных деталей.

Раскрываемые детали строки

JSON деталей может содержать:

• Старые и новые значения для событий обновления
• Дополнительные параметры
• Информацию об ошибках для неудачных событий

Фильтрация событий

По типу события

1. Нажмите выпадающий список Фильтр по типу события
2. Выберите тип события (например, “user.login”)
3. Таблица автоматически обновляется, показывая только соответствующие события
4. Нажмите X в выпадающем списке для сброса фильтра

Навигация

Используйте пагинацию для навигации по событиям:

• События отсортированы по времени (сначала новые)
• Измените размер страницы с помощью выпадающего списка внизу
• Нажмите на номера страниц для навигации

Хранение событий

Период хранения

• По умолчанию: 90 дней
• Настраивается в Настройках
• Старые события автоматически подлежат очистке

Ручная очистка

Нажмите Очистить старые логи для:

1. Удаления событий старше периода хранения
2. Освобождения хранилища базы данных
3. Сообщение об успехе показывает количество удаленных и дни хранения

Мониторинг безопасности

Индикаторы подозрительной активности

Мониторьте:

• Множественные неудачные входы с одного IP
• Необычное время входа (вне рабочих часов)
• Действия с неожиданных IP-адресов
• Массовые удаления (host.deleted, schedule.deleted)
• Изменения конфигурации (setting.updated)
• Регистрации новых пользователей (user.register)

Регулярный просмотр

• Просматривайте журналы аудита еженедельно для обычных операций
• Ежедневный просмотр для высокозащищенных сред
• Расследуйте необычные паттерны немедленно
• Документируйте инциденты безопасности

Сценарии использования для комплаенса

Отслеживание доступа

Отслеживайте, кто к чему получил доступ:

• История входов пользователей
• Изменения ресурсов
• Изменения конфигурации
• Время и источник доступа

Управление изменениями

Документируйте изменения:

• Когда были сделаны изменения (timestamp)
• Кто их сделал (user_id)
• Что было изменено (resource_type, resource_id)
• Значения до/после (в JSON деталей)

Расследование инцидентов

Расследуйте инциденты безопасности:

• Хронология событий (отсортировано по времени)
• Действия пользователей (фильтр по событиям пользователей)
• Затронутые ресурсы (колонка ресурса)
• Идентификация источника (IP-адрес)

Лучшие практики

Регулярный мониторинг

• Просматривайте логи ежедневно для критических систем
• Настройте интеграцию SIEM для оповещений в реальном времени
• Расследуйте аномалии оперативно
• Ведите записи расследований

Политика хранения

• Устанавливайте хранение на основе требований комплаенса
• Экспортируйте логи перед очисткой при необходимости для юридических целей
• Учитывайте требования PCI-DSS (1 год), HIPAA (6 лет), GDPR (варьируется)
• Балансируйте затраты на хранение с потребностями комплаенса

Контроль доступа

• Ограничьте доступ к журналам аудита
• Доступ к журналам аудита должен сам логироваться
• Защищайте целостность логов
• Рассмотрите доступ только для чтения для аудиторов

Доступ через API

Получайте журналы аудита программно:

GET /api/v1/audit?limit=50&offset=0&event_type=user.login

Параметры:

• limit - Количество возвращаемых событий
• offset - Смещение пагинации
• event_type - Фильтр по типу события (опционально)

Получение статистики:

GET /api/v1/audit/stats

Возвращает агрегированные подсчеты событий по типу и дате.

Устранение неполадок

Отсутствующие события

1. Убедитесь, что событие произошло после включения логирования
2. Проверьте, что фильтр типа события не исключает событие
3. Обновите страницу
4. Проверьте, что событие в пределах периода хранения

Слишком много событий

1. Используйте фильтр типа события для сужения
2. Уменьшите размер страницы для более быстрой загрузки
3. Экспортируйте данные для оффлайн-анализа
4. Рассмотрите более короткий период хранения

Проблемы производительности

1. Используйте меньшие размеры страницы (20-50 записей)
2. Применяйте конкретные фильтры
3. Экспортируйте данные и анализируйте оффлайн
4. Запустите очистку для уменьшения размера базы данных

Очистка не работает

1. Проверьте настройку периода хранения
2. Убедитесь, что есть события для удаления
3. Проверьте достаточность прав базы данных
4. Проверьте ошибки базы данных в логах сервера

Связанные страницы

• Настройки - Настройка периода хранения
• Задания - Просмотр деталей заданий усиления
• Сканирование соответствия - Просмотр деталей сканирования