Аудит системных событий

О сервисе аудита событий

Сервис аудита предназначен для сбора, анализа и хранения данных о действиях пользователей и событиях в системе. Он обеспечивает контроль за безопасностью, позволяя администраторам выявлять, хранить и отслеживать все действия пользователей в системе для предотвращения, обнаружения и реагирования на возможные угрозы или нарушения безопасности. С помощью сервиса аудита можно фиксировать такие действия, как входы в систему, создание, удаление и изменение ресурсов системы и конфигурации ее отдельных компонентов.

При большом количестве событий аудита в системе вы можете увеличить ресурсы для их обработки. Подробности приведены в разделе Работа с подами audit-manager и collector-audit.

Сервис аудита работает таким образом, что каждое действие пользователя в системе идентифицируется как отдельное событие аудита. Это событие затем регистрируется и сохраняется в системное хранилище аудита. Основой для этого хранилища служит системная база данных событий аудита, структура которой определяется системной моделью события аудита.

События аудита систематически записываются в базу данных, обеспечивая возможность их постоянного хранения, систематизации и последующего ретроспективного анализа. События аудита доступны для просмотра в разделе Поиск. Доступ к этим данным позволяет просматривать историю действий пользователей, анализировать поведенческие паттерны и, при необходимости, реагировать на подозрительные или несанкционированные действия.

События сервиса аудита можно анализировать и обрабатывать на конвейере с помощью точки входа Audit. Например, вы можете настроить конфигурацию конвейера на выполнение следующих операций:

Просмотр списка событий аудита

Чтобы просмотреть события сервиса аудита:

  1. Перейдите в раздел Поиск.

  2. Выберите из выпадающего списка в верхней части раздела Хранилище событий аудита.

  3. Задайте критерии поиска событий:

    • Для поиска событий по ключевым словам или по RQL-запросам введите запрос в поле поиска.

      При установке курсора в поле поиска отображается панель с историей поиска. Система сохраняет здесь 5 последних поисковых запросов.

    • Для поиска событий за период времени выберите из выпадающего списка способ задания периода:

      1. Последний период — задайте значение вручную или с помощью кнопок minus и plus, после чего выберите единицы времени из выпадающего списка. Поиск событий будет выполняться в указанном диапазоне вплоть до нынешнего момента.

      2. Задать период — укажите даты начала и конца периода, за который будет выполняться поиск событий.

      3. Часто используемые — выберите в разделе один из предлагаемых периодов.

        В нижней части выпадающего списка параметров для определения периода расположена секция История поиска. Система сохраняет здесь 5 последних поисковых запросов.

  4. Нажмите на кнопку Поиск. Список событий аудита, соответствующий заданным критериям, отобразится в таблице. Также над таблицей отобразится количество найденных совпадений.

    При необходимости вы можете остановить процесс поиска, нажав на кнопку Стоп. В разделе будут отображены только те события, что были найдены до прерывания поиска.

Для событий аудита доступны все стандартные операции над событиями.

Типы событий аудита

Тип события аудита зависит от действия пользователя, а также от раздела системы, в котором это действие было выполнено.

Система отслеживает следующие события аудита:

Системные события аудита

Группа событий Тип события Идентификатор события

Аутентификация

Вход пользователя

login.success

Выход пользователя

logout

Неуспешная попытка входа (неверный логин)

login.wrong_login

Неуспешная попытка входа (неверный пароль)

login.wrong_password

Попытка входа заблокированного пользователя

login.user_is_blocked

Пользователь заблокирован по причине превышения попыток входа

login.login_attempt_limit_exceeded

Политики входа и пароля

Изменение настроек политики требований к паролю

settings.update_password_policy

Изменение настроек политики требований к входу

settings.update_auth_policy

Двухфакторная аутентификация

Подключение двухфакторной аутентификации

second_factor.connect

Включение двухфакторной аутентификации

second_factor.enable

Отключение двухфакторной аутентификации

second_factor.disable

Сброс двухфакторной аутентификации

second_factor.reset

Неуспешная попытка входа пользователя через двухфакторную аутентификацию

second_factor.wrong_code

Пользователь заблокирован по причине превышения попыток входа по двухфакторной аутентификации

second_factor.login_attempt_limit_exceeded

Пользователи

Создание пользователя

user.create

Изменение пользователя

user.update

Назначение роли пользователю

user.roles_assign

Смена пароля пользователя

user.change_password

Блокировка пользователя

user.lock

Разблокировка пользователя

user.unlock

Удаление пользователя

user.delete

Группы пользователей

Создание группы пользователей

usergroup.create

Изменение группы пользователей

usergroup.update

Назначение роли группе пользователей

usergroup.roles_assign

Удаление группы пользователей

usergroup.delete

Синхронизация группы пользователей

usergroup.sync

Организации

Создание организации

organization.create

Изменение организации

organization.update

Удаление организации

organization.delete

Роли

Создание роли

role.create

Изменение роли

role.update

Удаление роли

role.delete

LDAP-соединения

Создание LDAP-соединения

ldap.create

Изменение LDAP-соединения

ldap.update

Удаление LDAP-соединения

ldap.delete

Синхронизация пользователей домена

ldap.synchronization

Политики доступа

Создание политики доступа

policy.create

Изменение политики доступа

policy.update

Удаление политики доступа

policy.delete

События аудита пространств

Группа событий Тип события Идентификатор события

Пространства

Создание пространства

space.create

Изменение пространства

space.update

Удаление пространства

space.delete

Сервисы

Запуск сервиса

space.workload.run

Остановка сервиса

space.workload.stop

События аудита работы с событиями ИБ

Группа событий Тип события Идентификатор события

Дашборды

Создание дашборда

dashboard.create

Изменение дашборда

dashboard.update

Удаление дашборда

dashboard.delete

Импорт дашборда

dashboard.import

Виджеты

Создание виджета

widget.create

Изменение виджета

widget.update

Удаление виджета

widget.delete

Активные списки

Создание активного списка

active_list.create

Изменение активного списка

active_list.update

Удаление активного списка

active_list.delete

Записи активных списков

Создание записи активного списка

active_list_record.create

Изменение записи активного списка

active_list_record.update

Удаление записи активного списка

active_list_record.delete

Импорт записей активного списка

active_list_record.import

Модели событий

Создание модели события

event_model.create

Изменение модели события

event_model.update

Удаление модели события

event_model.delete

Включение модели события

event_model.enable

Выключение модели события

event_model.disable

Импорт модели события

event_model.import

Базы данных событий

Создание базы данных

event_database.create

Изменение базы данных

event_database.update

Удаление базы данных

event_database.delete

Хранилища событий

Создание хранилища событий

event_storage.create

Изменение хранилища событий

event_storage.update

Удаление хранилища событий

event_storage.delete

Секреты

Создание секрета

secret.create

Изменение секрета

secret.update

Удаление секрета

secret.delete

Шаблоны отчета

Создание шаблона отчета

report_template.create

Изменение шаблона отчета

report_template.update

Удаление шаблона отчета

report_template.delete

Отчеты

Генерация отчета

report.generate

Удаление отчета

report.delete

Элементы экспертизы

Публикация и изменение элемента экспертизы

expertise.publish

Создание черновика элемента экспертизы

expertise.save_draft

Удаление элемента экспертизы

expertise.delete

Включение элемента экспертизы

expertise.enable

Выключение элемента экспертизы

expertise.disable

Перенос элемента экспертизы

expertise.move

Каталоги

Создание каталога

resource_folder.create

Изменение каталога

resource_folder.update

Коллекторы

Создание коллектора

collector.create

Изменение коллектора

collector.update

Удаление коллектора

collector.delete

Включение коллектора

collector.enable

Выключение коллектора

collector.disable

Импорт коллектора

collector.import

Шины

Создание шины

event_bus.create

Изменение шины

event_bus.update

Удаление шины

event_bus.delete

Обогащения

Добавление обогащения

enrichment_table.create

Изменение обогащения

enrichment_table.update

Удаление обогащения

enrichment_table.delete

Конвейеры

Создание конвейера

event_source.create

Изменение конвейера

event_source.update

Удаление конвейера

event_source.delete

Создание копии конвейера

event_source.clone

Импорт конвейера

event_source.import

Сброс метрик конвейера

event_source.reset_metrics

Конфигурации конвейеров

Установка конфигурации

event_source.enable

Отключение конфигурации

event_source.disable

Сохранение элемента

event_source.save_pipeline_transform

Удаление элемента

event_source.delete_pipeline_transform

Добавление связи элементов

event_source.save_pipeline_edge

Удаление связи элементов

event_source.delete_pipeline_edge

Сохранение конфигурации

event_source.save_pipeline_transform_layouts

Автоматическое отключение правила корреляции при превышении лимита

event_source.disable_correlation_rule

Политики мониторинга

Создание политики мониторинга

monitoringPolicy.create

Изменение политики мониторинга

monitoringPolicy.update

Удаление политики мониторинга

monitoringPolicy.delete

Включение политики мониторинга

monitoringPolicy.enable

Выключение политики мониторинга

monitoringPolicy.disable

События аудита менеджера агентов

Группа событий Тип события Идентификатор события

Агенты

Регистрация агента

agent.registration

Обновление инвентарной информации

agent.inventory_update

Переустановка агента

agent.reinstall_agent

Отключение агента

agent.disable

Удаление агента

agent.delete

Добавление агента в группу

agent.group_adding

Создание группы с выбранным агентом

agent.agent_grouping

Удаление агента из группы

agent.outgrouping

Группы агентов

Создание группы агентов

group.creation

Изменение группы агентов

group.change

Дублирование группы агентов

group.duplication

Удаление группы агентов

group.delete

Изменение конфигурации группы агентов

config.change

Шлюзы

Создание шлюза

gateway.creation

Изменение шлюза

gateway.change

Удаление шлюза

gateway.delete

Включение шлюза

gateway.enabling

Выключение шлюза

gateway.disabling

Настройки агентов

Изменение параметров работы агента

setting.change

События аудита агентов

События аудита агентов регистрируются на основе действий, выполняющихся на хостах агентов.

В отличие от событий аудита в модулях платформы, для событий аудита агентов:

  • Информация о типе события находится в полях:

    • meta.name — название события.

    • meta.action_type — тип действия в событии.

    • meta.operation_result — результат действия.

    • event_risk_level — уровень риска события.

    • data — дополнительная информация о событии.

  • Поле module_key хранит информацию о модуле агента, а не модуле платформы.
Информация о модулях агента

Модуль агента, с которым связано событие, записывается в поле module_key.

Под модулями агента подразумеваются процессы, реализующие ту или иную его функциональность:

  • launcher — запуск и отключение агента.

  • active-response — выполнение специальных действий для быстрого реагирования на инциденты или угрозы.

  • scanner — выполнение задач сканирования.

  • users-and-processes — управление пользователями на хосте. Настраивается в параметре Управление пользователями в конфигурации группы агентов.

  • file-reader — чтение журналов ОС. Настраивается в параметре Чтение файлов в конфигурации группы агентов.

  • object-access — управление доступом пользователей к объектам. Настраивается в параметре Доступ к объектам в конфигурации группы агентов.

Типы действий

Тип действия в событии записывается в поле meta.action_type. Возможные значения поля и их описание представлены в таблице ниже.

Тип действия Значение meta.action_type Описание

UNSPECIFIED

ACTION_TYPE_UNSPECIFIED

Тип действия не определен

CREATE

ACTION_TYPE_CREATE

Создание сущности

DELETE

ACTION_TYPE_DELETE

Удаление сущности

DISABLE

ACTION_TYPE_DISABLE

Отключение параметра или настройки

ENABLE

ACTION_TYPE_ENABLE

Включение параметра или настройки

SEND_DATA

ACTION_TYPE_SEND_DATA

Передача данных

UPDATE

ACTION_TYPE_UPDATE

Обновление сущности

EXECUTE

ACTION_TYPE_EXECUTE

Выполнение действия
Уровни риска событий

Уровень риска события записывается в поле event_risk_level. Возможные значения поля (в порядке возрастания) и их описание представлены в таблице ниже.

Уровень риска Значение event_risk_level Описание

UNSPECIFIED

EVENT_RISK_LEVEL_UNSPECIFIED

Уровень риска не определен

DEBUG

EVENT_RISK_LEVEL_DEBUG

Отладочный уровень риска

LOW

EVENT_RISK_LEVEL_LOW

Низкий уровень риска

MEDIUM

EVENT_RISK_LEVEL_MEDIUM

Средний уровень риска

HIGH

EVENT_RISK_LEVEL_HIGH

Высокий уровень риска

CRITICAL

EVENT_RISK_LEVEL_CRITICAL

Критический уровень риска

FATAL

EVENT_RISK_LEVEL_FATAL

Фатальный уровень риска

ACCIDENT

EVENT_RISK_LEVEL_ACCIDENT

Аварийный уровень риска (инцидент)
Результаты действий

Результат действия в событии записывается в поле meta.operation_result. Возможные значения поля и их описание представлены в таблице ниже.

Результат действия Значение meta.operation_result Описание

UNSPECIFIED

OPERATION_RESULT_UNSPECIFIED

Тип действия не определен

FAILED

OPERATION_RESULT_FAILED

Неудача

SUCCESS

OPERATION_RESULT_SUCCESS

Успех
События аудита модуля launcher
Тип события Название события Информация о событии

Включение агента

Endpoint agent launched

  • Тип действия: ENABLE

  • Уровень риска: LOW

  • Результат: SUCCESS

Отключение агента

Endpoint agent is stopped

  • Тип действия: DISABLE

  • Уровень риска: HIGH

  • Результат: SUCCESS

Получение конфигурации группы

Group configuration received

  • Тип действия: UPDATE

  • Уровень риска: LOW

  • Результат: SUCCESS

Восстановление конфигурации с локального NATS-сервера

Group configuration restored from local NATS

  • Тип действия: UPDATE

  • Уровень риска: LOW

  • Результат: SUCCESS

Удаление агента из группы

Agent excluded from group

  • Тип действия: UPDATE

  • Уровень риска: LOW

  • Результат: SUCCESS

Получена команда на переустановку агента

Agent reinstall command received

  • Тип действия: SEND_DATA

  • Уровень риска: LOW

  • Результат: SUCCESS

Ошибка переустановки агента

Error reinstalling agent

  • Тип действия: SEND_UPDATE

  • Уровень риска: HIGH

  • Результат: FAILED

Агент успешно переустановлен

Reinstalling agent successful

  • Тип действия: SEND_UPDATE

  • Уровень риска: HIGH

  • Результат: SUCCESS

Получена команда на удаление агента из менеджера

Agent remove from manager command received

  • Тип действия: DISABLE

  • Уровень риска: HIGH

  • Результат: SUCCESS

Ошибка удаления агента из менеджера

Error disabling agent by removing from manager

  • Тип действия: DISABLE

  • Уровень риска: HIGH

  • Результат: FAILED

Получена команда на удаление агента с хоста

Agent uninstall command received

  • Тип действия: DISABLE

  • Уровень риска: HIGH

  • Результат: SUCCESS

Ошибка удаления агента с хоста

Error uninstalling agent

  • Тип действия: DISABLE

  • Уровень риска: HIGH

  • Результат: FAILED

Зафиксировано превышение лимита ОЗУ

RAM consumption limit has been exceeded

  • Тип действия: UNSPECIFIED

  • Уровень риска: CRITICAL

  • Результат: UNSPECIFIED

Процесс остановлен из-за превышения лимита ОЗУ

Process stopped due to RAM consumption limit exceeding

  • Тип действия: DISABLE

  • Уровень риска: CRITICAL

  • Результат: UNSPECIFIED

Получена команда на перезагрузку агента

Agent restart command received

  • Тип действия: SEND_DATA

  • Уровень риска: HIGH

  • Результат: SUCCESS

Получена команда на перезагрузку хоста

Host restart command received

  • Тип действия: SEND_DATA

  • Уровень риска: HIGH

  • Результат: SUCCESS

Ошибка перезагрузки агента

Error restarting agent

  • Тип действия: EXECUTE

  • Уровень риска: HIGH

  • Результат: FAILED

Ошибка перезагрузки хоста

Error restarting host

  • Тип действия: EXECUTE

  • Уровень риска: HIGH

  • Результат: FAILED
События аудита модуля active-response
Тип события Название события Информация о событии

Получение команды на выполнение действия

AR command received

  • Тип действия: SEND_DATA

  • Уровень риска: LOW

  • Результат: SUCCESS

Успешное выполнение действия

AR command executed

  • Тип действия: SEND_DATA

  • Уровень риска: LOW

  • Результат: SUCCESS

Ошибка выполнения действия

AR command error

  • Тип действия: SEND_DATA

  • Уровень риска: LOW

  • Результат: FAILED

Обновление белого списка

Received new ip-whitelist

  • Тип действия: UPDATE

  • Уровень риска: LOW

  • Результат: SUCCESS
События аудита модуля scanner
Тип события Название события Информация о событии

Получение задачи

Analyzer received scanner task

  • Тип действия: UPDATE

  • Уровень риска: LOW

  • Результат: SUCCES

Планирование выполнения задачи

Analyzer planned executing scanner task

  • Тип действия: EXECUTE

  • Уровень риска: LOW

  • Результат: SUCCES

Ошибка планирования выполнения задачи

Received invalid analyzer task

  • Тип действия: UPDATE

  • Уровень риска: HIGH

  • Результат: FAILED

Ошибка выполнения задачи

Error executing analyzer task

  • Тип действия: SEND_DATA

  • Уровень риска: ACCIDENT

  • Результат: FAILED
События аудита модуля users-and-processes
Тип события Название события Информация о событии

Включение модуля

Users-and-processes enabled

  • Тип действия: ENABLE

  • Уровень риска: LOW

  • Результат: SUCCESS

Ошибка включения модуля

Users-and-processes enabling error

  • Тип действия: ENABLE

  • Уровень риска: HIGH

  • Результат: FAILED

Завершение работы модуля

Users-and-processes disabled

  • Тип действия: DISABLE

  • Уровень риска: HIGH

  • Результат: SUCCESS

Ошибка выключения модуля

Users-and-processes disabling error

  • Тип действия: DISABLE

  • Уровень риска: HIGH

  • Результат: FAILED
События аудита модуля file-reader
Тип события Название события Информация о событии

Включение модуля

File-reader enabled

  • Тип действия: ENABLE

  • Уровень риска: LOW

  • Результат: SUCCESS

Ошибка включения модуля

File-reader enabling error

  • Тип действия: ENABLE

  • Уровень риска: HIGH

  • Результат: FAILED

Завершение работы модуля

File-reader disabling

  • Тип действия: DISABLE

  • Уровень риска: LOW

  • Результат: SUCCESS

Ошибка открытия файла

Error reading file

  • Тип действия: EXECUTE

  • Уровень риска: HIGH

  • Результат: FAILED

Ошибка чтения строки

Error reading line

  • Тип действия: EXECUTE

  • Уровень риска: HIGH

  • Результат: FAILED

Ошибка чтения события

Error reading event

  • Тип действия: EXECUTE

  • Уровень риска: HIGH

  • Результат: FAILED
События аудита модуля object-access
Тип события Название события Информация о событии

Включение модуля

Object-access enabled

  • Тип действия: ENABLE

  • Уровень риска: LOW

  • Результат: SUCCESS

Ошибка включения модуля

Object-access enabling error

  • Тип действия: ENABLE

  • Уровень риска: HIGH

  • Результат: FAILED

Завершение работы модуля

Object-access disabling

  • Тип действия: DISABLE

  • Уровень риска: LOW

  • Результат: SUCCESS

Ошибка выключения модуля

Object-access disabling error

  • Тип действия: DISABLE

  • Уровень риска: HIGH

  • Результат: FAILED

События аудита управления сканированием

В приведенных ниже таблицах используются следующие обозначения:

  • scanId — идентификатор запуска задачи сканирования.

  • hostId — идентификатор хоста.

Задачи сбора данных хоста

Тип события eventPublishId

Создание хоста агентского сканирования

dataCollection.taskAgentHostCreated + ${scanId} + ${hostId}

Создание хоста безагентского сканирования

dataCollection.taskAgentlessHostCreated + ${scanId} + ${hostId}

Завершение задачи сбора данных хоста

dataCollection.taskFinished + ${scanId} + ${hostId}

Отмена задачи сбора данных хоста

dataCollection.taskCanceled + ${scanId} + ${hostId}

Пауза при выполнении задачи сбора данных хоста

dataCollection.taskPaused + ${scanId} + ${hostId}

Возобновление выполнения задачи сбора данных хоста

dataCollection.taskResumed + ${scanId} + ${hostId}

Завершение получения данных хоста

dataCollection.finalDataFetched + ${scanId} + ${hostId}

Создание и конфигурация задач сканирования

Тип события eventPublishId

Создание задачи сканирования

scan-policy.taskCreate + ${taskId}

Обновление задачи сканирования

scan-policy.taskUpdate + ${taskId}

Удаление задачи сканирования

scan-policy.taskDelete + ${taskId}

Пауза при выполнении задачи сканирования

scan-policy.taskPause + ${taskId}

Возобновление выполнения задачи сканирования

scan-policy.taskResume + ${taskId}

Отмена задачи сканирования

scan-policy.taskCancel + ${taskId}

Запуск задачи сканирования

scan-policy.taskRun + ${taskId}

Завершение задачи сканирования

scan-policy.taskFinished + ${taskId}

Завершение задачи сканирования с ошибкой

scan-policy.taskInterrupted + ${taskId}

Создание профиля сканирования

scan-policy.profileCreate + +${profileId

Обновление профиля сканирования

scan-policy.profileUpdate + ${profileId}

Удаление профиля сканирования

scan-policy.profileDelete + ${profileId}

Управление сканированием

Тип события eventPublishId

Создание хоста ретроспективного сканирования

scanner.hostRetroScanCreated + ${retroHostTask.scanId} + ${retroHostTask.hostId}

Отмена создания хоста ретроспективного сканирования

scanner.hostRetroScanCanceled + ${retroHostTask.scanId} + ${retroHostTask.hostId}

Завершение сканирования хоста ретроспективного сканирования

scanner.hostRetroScanFinished + ${retroHostTask.scanId} + ${retroHostTask.hostId}

Запуск сканирования хоста ретроспективного сканирования

scanner.hostRetroScanStarted + ${retroHostTask.scanId} + ${retroHostTask.hostId}

Завершение сканирования хоста ретроспективного сканирования с ошибкой

scanner.hostRetroScanInterrupted + ${retroHostTask.scanId} + ${retroHostTask.hostId}

Создание хоста сканирования

scanner.hostCreated + ${scanId} + ${hostId}

Обнаружение хоста

scanner.hostDiscovered + ${scanId} + ${hostId}

Запуск сбора данных по хосту

scanner.dataCollectionStarted + ${scanId} + ${hostId}

Завершение сбора данных по хосту

scanner.dataCollectionFinished + ${scanId} + ${hostId}

Завершение сбора данных по хосту с ошибкой

scanner.dataCollectionError + ${scanId} + ${hostId}

Запуск инвентаризации хоста

scanner.inventoryStarted + ${scanId} + ${hostId}

Завершение инвентаризации хоста

scanner.inventoryFinished + ${scanId} + ${hostId}

Завершение инвентаризации хоста с ошибкой

scanner.inventoryError + ${scanId} + ${hostId}

Запуск анализа данных хоста (поиска уязвимостей)

scanner.vulnAnalysisStarted + ${scanId} + ${hostId}

Завершение анализа данных хоста (поиска уязвимостей)

scanner.vulnAnalysisFinished + ${scanId} + ${hostId}

Завершение анализа данных хоста (поиска уязвимостей) с ошибкой

scanner.vulnAnalysisError + ${scanId} + ${hostId}

Начало тестирования хоста на проникновение

scanner.pentestStarted + ${scanId} + ${hostId}

Завершение тестирования хоста на проникновение

scanner.pentestFinished + ${scanId} + ${hostId}

Завершение тестирования хоста на проникновение с ошибкой

scanner.pentestError + ${scanId} + ${hostId}

Запуск проверки стандартов хоста

scanner.complianceStarted + ${scanId} + ${hostId}

Завершение проверки стандартов хоста

scanner.complianceFinished + ${scanId} + ${hostId}

Завершение проверки стандартов хоста с ошибкой

scanner.complianceError + ${scanId} + ${hostId}

Завершение задачи сканирования хоста

scanner.hostScanFinished + ${scanId} + ${hostId}

Завершение задачи сканирования хоста с ошибкой

scanner.hostScanInterrupted + ${scanId} + ${hostId}

Отмена выполнения задачи сканирования хоста

scanner.hostScanCanceled + ${scanId} + ${hostId}

Запуск задачи ретроспективного сканирования

scanner.retroScanStarted + ${scanId}

Отмена задачи ретроспективного сканирования

scanner.retroScanCanceled + ${scanId}

Завершение задачи ретроспективного сканирования с ошибкой

scanner.retroScanInterrupted + ${scanId}

Завершение задачи ретроспективного сканирования

scanner.retroScanFinished + ${scanId}

Создание задачи агентского сканирования

scanner.agentTaskCreated + ${scanId}

Отмена выполнения задачи агентского сканирования

scanner.agentTaskCanceled + ${scanId}

Запуск задачи безагентского сканирования

scanner.agentlessTaskStarted + ${scanId}

Пауза при выполнении задачи безагентского сканирования

scanner.agentlessTaskPaused + ${scanId}

Отмена выполнения задачи безагентского сканирования

scanner.agentlessTaskCanceled + ${scanId}

Возобновление выполнения задачи безагентского сканирования

scanner.agentlessTaskResumed + ${scanId}

Завершение выполнения задачи безагентского сканирования с ошибкой

scanner.agentlessTaskInterrupted + ${scanId}

База данных уязвимостей

Тип события eventPublishId

Запуск обновления базы данных уязвимостей из файла

vulnsDb.startUpdate + ${transactionId}

Запуск обновления базы данных уязвимостей с сервера обновлений

vulnsDb.startUpdate + ${actorId}

Загрузка файла с архивом базы данных уязвимостей

vulnsDb.uploadUpdate + ${transactionId}

Скачивание базы данных уязвимостей на диск

vulnsDb.downloadUpdate + ${processId}

Распаковка архива базы данных уязвимостей

vulnsDb.unpackUpdate + ${transactionId}

Онлайн-проверка обновления базы данных уязвимостей

vulnsDb.checkUpdate + ${transactionId}

Запуск установки базы данных уязвимостей

vulnsDb.installUpdate + ${transactionId}

Завершение установки базы данных уязвимостей

vulnsDb.finishedUpdate + ${transactionId}

Анализ хоста

Тип события eventPublishId

Создание задачи анализа хоста

vulnAnalyzer.hostTaskCreated.host + ${hostId}

Ошибка определения уязвимостей хоста

vulnAnalyzer.hostVulnDetectError.host + ${hostId}

Определение уязвимостей хоста

vulnAnalyzer.vulnsDetected.host + ${hostId}

Ошибка при получении данных сканирования хоста

vulnAnalyzer.getHostDataError.host + ${hostId}

Обнаружение хоста

Тип события eventPublishId

Создание задачи поиска хостов

discovery.taskCreated + ${scanId}

Создание подзадачи обнаружения для сегмента сети

discovery.segmentTaskCreated + ${discoveryTask.taskId}

Завершение подзадачи обнаружения для сегмента сети

discovery.segmentTaskFinished + ${discoveryTask.taskId}

Завершение задачи обнаружения

discovery.taskFinished + ${scanId}

Пауза при выполнении задачи обнаружения

discovery.taskPaused + ${scanId}

Возобновление выполнения задачи обнаружения

discovery.taskResumed + ${scanId}

Отмена выполнения задачи обнаружения

discovery.taskCanceled + ${scanId}

Проверка стандартов

Тип события eventPublishId

Создание задачи анализа хоста при проверке стандартов

complience.create.host + ${scanId} + ${hostId}

Ошибка сканирования проверки стандартов

complience.interrupted.host + ${scanId} + ${hostId}

Завершение сканирования проверки стандартов

complience.finished.host + ${scanId} + ${hostId}

Сервис vulnAnalyzerDeterminant

Тип события eventPublishId

Создание задачи анализа хоста

vulnAnalyzerDeterminant.hostTaskCreated.host + ${hostId}

Определение фидов.

Ознакомьтесь с информацией о сервисе и фидах.

vulnAnalyzerDeterminant.feedsDetected.host + ${hostId}

Ошибка определения фидов

vulnAnalyzerDeterminant.feedDetectError.host + ${hostId}

Ошибка получения данных по хосту

vulnAnalyzerDeterminant.getHostDataError.host + ${hostId}

Обнаружение отсутствия подходящего теста

vulnAnalyzerDeterminant.suitableFeedNotFound.host + ${hostId}

Сервис инвентаризации

Тип события eventPublishId

Старт сохранения команды инвентаризации

inventory.commandsSeedingStarted

Завершение сохранения команды инвентаризации

inventory.commandsSeedingFinished

Завершение инвентаризации хоста

inventory.hostInventoryFinished.host + ${hostId}

Ошибка инвентаризации хоста

inventory.hostInventoryError.host + ${hostId}

Тестирование хоста на проникновение

Тип события eventPublishId

Создание задачи сканирования

pentest.create.host + ${scanId} + ${hostId}

Остановка выполнения задачи сканирования хоста

pentest.cancel.host + ${scanId} + ${hostId}

Ошибка при выполнении задачи сканирования хоста

pentest.interrupted.host + ${scanId} + ${hostId}

Завершение выполнения задачи сканирования хоста

pentest.finished.host + ${scanId} + ${hostId}

Отправка файла агенту

pentest.send-file.scan + ${scanId}

Фид — это тест, содержащий условия, при которых уязвимость считается найденной. Используется в группе событий сервиса vulnAnalyzerDeterminant. Этот сервис определяет список подходящих фидов для конкретного хоста.

События аудита управления доменами

В таблице ниже приняты следующие обозначения:

Группа событий Тип события (meta.name) Тип события (eventType) Идентификатор события (eventPublishId)

Домены

Регистрация домена

domain.register

domain.register.<domain_id>

Изменение информации о домене

domain.update

domain.update.<domain_id>

Обновление домена

domain.upgrade

domain.upgrade.<domain_id>

Удаление домена

domain.delete

domain.delete.<domain_id>

Сущности

Создание сущности

entity.create

entity.create.<domain_id>.<entity_id>

Изменение сущности

entity.update

entity.update.<domain_id>.<entity_id>

Удаление сущности

entity.delete

entity.delete.<domain_id>.<entity_id>

Связи

Создание связи

linkage.create

linkage.create.<domain_id>.<linkage_id>

Изменение связи

linkage.update

linkage.update.<domain_id>.<linkage_id>

Удаление связи

linkage.delete

linkage.delete.<domain_id>.<linkage_id>

Объекты

Создание объекта

object.create

object.create.<domain_id>.<entity_id>.<object_id>

Изменение объекта

object.update

object.update.<domain_id>.<entity_id>.<object_id>

Удаление объекта

object.delete

object.delete.<domain_id>.<entity_id>.<object_id>

Синхронизация объектов

objects.sync

objects.sync.<domain_id>.<entity_id>.<object_id>

Экспорт объектов

objects.export

objects.export.<domain_id>.<entity_id>.<object_id>

Экземпляры связи

Создание экземпляра связи

link.create

link.create.<domain_id>.<linkage_id>.<link_id>

Изменение экземпляра связи

link.update

link.update.<domain_id>.<linkage_id>.<link_id>

Удаление экземпляра связи

link.delete

link.delete.<domain_id>.<linkage_id>.<link_id>

Счетчики

Срабатывание счетчика времени

counter.expired

counter.expired.<counter_id>

  • При массовых операциях над объектами генерируются отдельные события для каждого объекта.

  • При удалении объекта, связанного с другими объектами, генерируются также события удаления экземпляров связей.

  • При редактировании дочерней сущности генерируются события изменения всех родительских сущностей.

Структура поля data в событиях управления доменами

В случае успешного выполнения операции поле data содержит следующие данные:

  • domainId — идентификатор схемы домена;

  • type — тип элемента:

    • domain — домен;

    • entity — сущность;

    • object — объект;

    • linkage — связь;

    • link — экземпляр связи.

  • Идентификаторы:

    • entityId (для сущностей и объектов) — идентификатор сущности;

    • objectId (для объектов) — идентификатор объекта;

    • linkageId (для связей и их экземпляров) — идентификатор связи;

    • linkId (для экземпляров связей) — идентификатор экземпляра связи.

      При пересоздании связей на диаграмме дополнительно добавляются следующие поля:

      • Для удаляемой связи:

        • targetDomainId — идентификатор домена целевой связи;

        • targetLinkageId — идентификатор целевой связи;

        • targetLinkId — идентификатор целевого экземпляра связи.

      • Для создаваемой связи:

        • sourceDomainId — идентификатор домена исходной связи;

        • sourceLinkageId — идентификатор исходной связи;

        • sourceLinkId — идентификатор исходного экземпляра связи.

  • Названия:

    • entityName (для сущностей и объектов) — имя сущности;

    • objectName (для объектов) — отображаемое имя объекта;

    • linkageName (для связей и их экземпляров) — имя связи;

    • linkVerb (для экземпляров связей) — глагольное описание связи.

  • Данные связи (для связей и их экземпляров):

    • linkageType: тип связи:

      • 1_1 — один к одному;

      • 1_n — один ко многим;

      • n_n — многие ко многим.

    • isLinkageUndirected: направленность связи:

      • true — ненаправленная;

      • false — направленная.

    • linkageSide1, linkageSide — данные сущностей на сторонах связи 1 и 2 соответственно. Данные каждой стороны включают поля:

      • domainId — идентификатор домена, к которому относится сущность.

      • entityId — идентификатор сущности.

      • entityName — имя сущности.

    • linkSide1, linkSide2 (для экземпляров связи) — данные объектов на сторонах экземпляра связи 1 и 2 соответственно. Данные каждой стороны включают поля:

      • objectId — идентификатор объекта.

      • objectName — отображаемое название объекта.

  • Описание атрибутов (при создании, изменении или удалении объекта, связи, экземпляра связи):

    • objectAttributes — атрибуты объекта;

    • linkageAttributes — атрибуты связи;

    • linkAttributes — атрибуты экземпляра связи.

      Описание атрибутов включает поля:

    • current — текущие значения измененных атрибутов.

    • deltaFrom — предыдущие значения измененных атрибутов или последние значения атрибутов удаленного объекта.

      Значения в каждом из полей представлены в формате <attributeName>: <attributeValue>, где:

      • <attributeName> — идентификатор атрибута из схемы домена;

      • <attributeValue> — значение атрибута.

  • Метка времени события (для объектов, связей, экземпляров связи):

    • createdAt — время создания;

    • updatedAt — время изменения;

    • deletedAt — время удаления.

  • isOriginEvent (для сущностей): признак редактирования дочерней сущности:

    • true — изменение произошло при редактировании сущности, дочерней по отношению к текущей;

    • false — изменение произошло при редактировании текущей сущности.

  • operationContext — контекст вызова операции.

  • duration (для счетчиков) — длительность счетчика;

  • reference (для счетчиков) — контекст счетчика, включает поля:

    • domainId: идентификатор схемы домена для сущности;

    • entityId: идентификатор сущности;

    • attributeId: идентификатор атрибута;

    • objectId: идентификатор объекта, в рамках которого сработал счетчик.

Структура поля operationContext в событиях управления доменами

Контекст вызова операции включает следующие поля:

  • source — источник, из которого была инициирована операция. Включает поля:

    • channel — показывает, откуда инициировано действие:

      • ui — из пользовательского интерфейса;

      • sdk — из скрипта через SDK.

    • id — идентификатор источника операции. Например, идентификатор скрипта для SDK, идентификатор действия в схеме домена для пользовательского интерфейса.

    • jobID — идентификатор запуска скрипта или плейбука.

  • metadata — дополнительные сведения или параметры, связанные с операцией.

События аудита управления автоматизацией

Группа событий Тип события Идентификатор события

Запуски

Создание задания на запуск скрипта или плейбука

job.create

Запуск выполнения скрипта или плейбука

job.execution_start

Завершение выполнения скрипта или плейбука

job.execution_complete

Остановка выполнения скрипта или плейбука

job.execution_cancel

Автоматизации

Создание автоматизации

trigger.create

Изменение автоматизации

trigger.update

Удаление автоматизации

trigger.delete

Включение автоматизации

trigger.enable

Выключение автоматизации

trigger.disable

Воркеры

Создание воркера

worker.create

Изменение воркера

worker.update

Удаление воркера

worker.delete

Включение воркера

worker.enable

Выключение воркера

worker.disable

Обновление версии воркера

worker.upgrade

Переменные

Создание переменной

variable.create

Изменение переменной

variable.update

Удаление переменной

variable.delete

Чтение переменной-секрета

variable.read

Включение переменной

variable.enable

Выключение переменной

variable.disable

Конфигурации

Создание конфигурации

configuration.create

Изменение конфигурации

configuration.update

Обновление конфигурации

configuration.upgrade

Удаление конфигурации

configuration.delete

Включение конфигурации

configuration.enable

Выключение конфигурации

configuration.disable

Была ли полезна эта страница?

+7 (499) 755 55 70 sales@rvision.ru

О компании Пользовательское соглашение Политика cookies

Обратная связь