Что такое аудит-логи? | Аудит-логи — это записи о том, кто, что и когда делал в аккаунте: входы в панель управления, изменение пользователей и прав доступа, создание и удаление серверов и другие важные события. В аудит-логи попадают и успешные, и неуспешные события, в том числе события, которые не разрешены политиками безопасности. Поэтому, если были неудачные попытки выполнить действие в аккаунте, вы об этом узнаете. Подробнее об аудит-логах в разделе Аудит-логи в документации. |
Чем сервис Аудит-логи отличается от сервиса Логи? | Аудит-логи помогают отследить действия пользователей с инфраструктурой. Они обеспечивают безопасность, прозрачность контроля и точность расследования инцидентов информационной безопасности. Логи помогают понять, почему сервис или приложение не работает. Они предназначены для сбора и анализа ошибок в работе приложений. |
Все ли события попадают в аудит-логи? | В аудит-логах отображаются события по основным продуктам Selectel. Актуальную информацию смотрите в подразделе Типы событий инструкции События в аудит-логах в документации. Если вы не нашли нужное событие, создайте тикет. |
Сколько времени хранятся аудит-логи? | Аудит-логи хранятся 90 дней. В любой момент вы можете выгрузить их для дальнейшнего анализа. |
Как выгрузить аудит-логи? | Аудит-логи можно выгрузить:
Чтобы выгрузить только нужные события, их можно фильтровать по дате, проектам, сервисам и событиям. |
Почему я не вижу некоторые поля в логах? | Часть полей в структуре события необязательны: некоторые сервисы их не заполняют. При этом пустые поля все равно отображаются в структуре события. Подробнее о полях в подразделе Структура события инструкции События в аудит-логах в документации. |
Как идентифицировать пользователя по логам? | Идентифицировать пользователя можно по значению поля subject_id или resource_id в событии. Подробнее о том, как идентифицировать пользователя по логам в инструкции Идентифицировать пользователя в документации. |
Что означает «subject_id»: «undefined» в логах? | Если значение поля не может быть определено сервисами-источниками логов — например, если в процессе выполнения действия возникла ошибка или объект еще не создан и отсутствует resource_id, — используется зарезервированное значение undefined. Подробнее о зарезервированных значениях в подразделе Зарезервированные значения инструкции События в аудит-логах в документации. Значение undefined встречается в событиях сервиса billing. Детальная информация о субъекте содержится в парном событии аутентификации: события с типом iam.account.init_action объединены с основным событием через поле request_id. |
Как настроить интеграцию с SIEM-системой? | Интеграцию с SIEM-системой можно настроить с помощью Audit Logs API. Через API аудит-логи регулярно выгружаются в формате JSON. Подробнее о настройке в разделе Настроить интеграцию с SIEM-системами в документации. |
Сколько стоит сервис? | Сервис предоставляется бесплатно. |