Аудит системных событий
О сервисе аудита событий
Сервис аудита предназначен для сбора, анализа и хранения данных о действиях пользователей и событиях в системе. Он обеспечивает контроль за безопасностью, позволяя администраторам выявлять, хранить и отслеживать все действия пользователей в системе для предотвращения, обнаружения и реагирования на возможные угрозы или нарушения безопасности. С помощью сервиса аудита можно фиксировать такие действия, как входы в систему, создание, удаление и изменение ресурсов системы и конфигурации ее отдельных компонентов.
Сервис аудита работает таким образом, что каждое действие пользователя в системе идентифицируется как отдельное событие аудита. Это событие затем регистрируется и сохраняется в системное хранилище аудита. Основой для этого хранилища служит системная база данных событий аудита, структура которой определяется системной моделью события аудита.
События аудита систематически записываются в базу данных, обеспечивая возможность их постоянного хранения, систематизации и последующего ретроспективного анализа. События аудита доступны для просмотра в разделе Поиск. Доступ к этим данным позволяет просматривать историю действий пользователей, анализировать поведенческие паттерны и, при необходимости, реагировать на подозрительные или несанкционированные действия.
Просмотр списка событий аудита
Чтобы просмотреть события сервиса аудита:
-
Перейдите в раздел Поиск.
-
Выберите из выпадающего списка в верхней части раздела Хранилище событий аудита.
-
Задайте критерии поиска событий:
-
Для поиска событий по ключевым словам или по RQL-запросам введите запрос в поле поиска.
При установке курсора в поле поиска отображается панель с историей поиска. Система сохраняет здесь 5 последних поисковых запросов. -
Для поиска событий за период времени выберите из выпадающего списка способ задания периода:
-
Последний период — задайте значение вручную или с помощью кнопок
и 
, после чего выберите единицы времени из выпадающего списка. Поиск событий будет выполняться в указанном диапазоне вплоть до нынешнего момента. -
Задать период — укажите даты начала и конца периода, за который будет выполняться поиск событий.
-
Часто используемые — выберите в разделе один из предлагаемых периодов.
В нижней части выпадающего списка параметров для определения периода расположена секция История поиска. Система сохраняет здесь 5 последних поисковых запросов.
-
-
-
Нажмите на кнопку Поиск. Список событий аудита, соответствующий заданным критериям, отобразится в таблице. Также над таблицей отобразится количество найденных совпадений.
При необходимости вы можете остановить процесс поиска, нажав на кнопку Стоп. В разделе будут отображены только те события, что были найдены до прерывания поиска.
Для событий аудита доступны все стандартные операции над событиями.
Типы событий аудита
Тип события аудита зависит от действия пользователя, а также от раздела системы, в котором это действие было выполнено.
Система отслеживает следующие события аудита:
Системные события аудита
| Группа событий | Тип события |
|---|---|
Аутентификация |
|
Настройка средств аутентификации |
|
Пользователи |
|
Группы пользователей |
|
Тенанты |
|
Роли |
|
LDAP-соединения |
|
События аудита пространств
| Группа событий | Тип события |
|---|---|
Пространства |
|
Сервисы |
|
События аудита SIEM
| Группа событий | Тип события |
|---|---|
Оповещения |
|
Комментарии |
|
Дашборды |
|
Виджеты |
|
Активные списки |
|
Записи активных списков |
|
Модели событий |
|
Базы данных событий |
|
Хранилища событий |
|
Драйверы БД |
|
Секреты |
|
Интеграции |
|
Отправка по интеграции |
|
Шаблоны отчета |
|
Отчеты |
|
Элементы экспертизы |
|
Каталоги |
|
Коллекторы |
|
Шины |
|
Обогащения |
|
Конвейеры |
|
Конфигурации конвейеров |
|
Политики мониторинга |
|
События аудита менеджера агентов
| Раздел | Тип события |
|---|---|
Агенты → Агенты |
|
Агенты → Группы агентов |
|
Агенты → Шлюзы |
|
Настройки → Агенты |
|
