Логирование событий
8 800 555-89-02
Войти
Документация
CTRL+K
Standalone2410
SaaS

Логирование событий

В этой статье

Каждому объекту, который создается в системе, присваиваются идентификаторы. Их можно просмотреть:

События логирования каждого модуля представлены ниже в таблицах.

События, которые сейчас не логируются в системе:

  • Очистка журнала событий
  • Изменение настроек безопасности (включение/отключение, изменение уровня логирования)
  • Копирование объекта
  • Архивирование данных
  • Попытка удаления журналов безопасности
  • Изменение конфигурации системы (конфигурационных файлов, настроек СУБД, настроек ПО)
  • Остановка/сбой основных или вспомогательных модулей
  • SQL-запросы к ClickHouse, исходящие из блоков в скриптах автоматизации

События «попытки несанкционированного доступа к системе» также не логируются, т.к. защита от несанкционированного доступа производится на уровне файловой системы.

Логирование «результатов контроля целостности АС контроля работоспособности СЗИ» не осуществляется. Также не осуществляется подсчет данных хеша в конфигурационном файле, так как данная функция не гарантирует их сохранность от изменений. Защита может осуществляться только на уровне файловой системы.

Спецификация полей журнала безопасности

ОписаниеКомментарийЗарезервированное значение
1ПриоритетВсе сообщения идут с одним приоритетом: 4*8+537
2Версия syslog1
3HOSTNAMEИмя сервера, если определить не удалось или имя не соответствует требованиям RFC 5424, то "-"
4Имя процессаНарушение спецификации. Спецификация требует указать имя приложения (java), но это не обеспечивает уникальность продуктаinfomaximum
5ID процесса (PID)Если pid определить не удалось, то '-'
6MSGID событияУникальный идентификатор события, основан на «инкрементирующем значении». Строковое значение типа события

Соответствие видов событий журнала

Информация о событии в терминах СЗИЭлемент в строке в журнале безопасностиПримечание
Уникальный номер строки о событии ИБ[meta sequenceId="80"]Значение meta sequenceId является уникальным номером строки о событии
Название АС-источника информации о событии[source@729368 … type="employee"…]Значение type в source является типом источника события.
Подробнее в таблице Блоки записи в журнале безопасности
Версия источника информации о событии[system@729368 version.platform= "1.0.0"]Значение version.platform является информацией об источнике события.
Подробнее в таблице Блоки записи в журнале безопасности
Системное имя (логин) пользователя-инициатора события[source@729368 … id="1" type="employee" login="admin"…]Значение id="1", "login="admin" является информацией о пользователе-инициаторе, а именно: login – логин, id – порядковый номер пользователя.
Подробнее в таблице Блоки записи в журнале безопасности
IP-адрес хоста-источника события[source@729368… remoteAddress="10.0.75.1"]Значение remoteAddress является IP-адресом хоста-источника события
Системное имя (логин) пользователя получателя[target@729368 …id="1" type="employee" login="admin"]Значения в target id="1" type="employee" login="admin" являются информацией о пользователе-получателе, где:
id – порядковый номер пользователя
login – логин пользователя
type – тип получателя
Системный идентификатор сообщения о событииupdateИдентификатором-сообщением о событии может быть значение <MSGID>
Подробнее в таблицах со структурированными данными для каждого модуля
Системное время источника события2019-03-26T16:07:06+03:00Время источника события фиксируется в строке под <time>
Формат даты: yyyy-MM-ddTHH:mm:ssZ
Текст сообщения в максимально подробном виде, включая старые и новые значения измененных свойств[event@729368 old_first_name="Денис" old_email=petr@gmail.com new_first_name="Владимир" new_email="email@gmail.com]old_first_name – старое значение имени
old_email – старое значение электронного адреса
new_first_name – новое значение имени
new_email – новое значение электронной почты
Полное имя процесса(службы)
результат (успех/отказ)
Результат (успех/отказ) фиксируется не для всех событий в системе

В таблицах ниже представлена подробная справочная информация о структуре данных, которые могут присутствовать в записях журнала безопасности, включая типы событий, их параметры и краткое описание.

Блоки записи в журнале безопасности

ПолеОписание
Meta
sequenceIdИдентификатор события, основан на «инкременте»
Система: system@729368
version.platformВерсия ядра
Источник: source@729368
systemВнутреннее действие системы
remote_address
remote_proxy
Запросы без авторизации.
Тип источника: «anonymous».
remoteAddress – удаленный адрес, с которого пришел запрос
remoteProxy – если сервер находится за прокси, то через HTTP-заголовок X-Real – IP можно указать реальный IP
remoteAddress
remoteProxy
id
sessionHash
login
Запрос пользователя.
Тип источника: «employee».
remoteAddress – удаленный адрес, с которого пришел запрос
remoteProxy – если сервер находится за прокси, то через HTTP-заголовок X-Real – IP можно указать реальный IP
id – идентификатор пользователя
sessionHash – SHA256 от строкового значения сессии
login – логин пользователя
subtype
remote_address
remote_proxy
id
name
login_AD
domain_name
Запрос ключа API.
Тип источника: «api_key».
subtype ="AD" – тип авторизации через ключ API посредством политик AD
certificate – тип авторизации через ключ API посредством клиентской аутентификации (сертификатов безопасности)
none – тип авторизации только через ключ API
remote_address – удаленный адрес, с которого пришел запрос
remote_proxy – если сервер находится за прокси, то через HTTP-заголовок X-Real – IP можно указать реальный IP
id – идентификатор ключа API
name – название ключа API
login_AD – логин пользователя в AD (появляется только в том случае, если есть интеграция с AD)
domain_name – доменное имя (появляется только в том случае, если есть интеграция с AD)
Объект, над которым произведено действие: target@729368
Все поля и события, относящиеся к target@729368, описаны в таблицах ниже

Модуль «Платформа»

СобытиеПараметры
Событие над объектом: «system» (Система)
initialize – начало инициализации системы
start – начало работы
stop – окончание работы
crush – окончание работы с ошибкой
Событие над объектом: «employee» (Пользователь)

Данные объекта «Пользователь»:
id – идентификатор пользователя
login – логин пользователя
create – созданиеfirst_name – имя
second_name – фамилия
login – логин
update – изменениеnew_first_name – новое значение имени
old_first_name – старое значение имени
new_second_name – новое значение фамилии
old_second_name – старое значение фамилии
new_patronymic – новое значение отчества
old_patronymic – старое значение отчества
new_personnel_number – новое значение табельного номера
old_personnel_number – старое значение табельного номера
new_login – новое значение логина
old_login – старое значение логина
new_email – новое значение электронной почты
old_email – старое значение электронной почты
new_department – новое значение отдела
old_department – старое значение отдела
remove – удаление
logon – вход в системуstatus – статус авторизации
Возможные значения status:
- success – успешная
- invalid_logon – неуспешная (неверные учетные данные)
- disabled_logon – отключен вход в систему
- expired_password – срок действия пароля закончился
- invalid_logon_and_max_logon – превышение количества попыток входа в систему
- no_privileges – не установлена роль доступа
- session_hash – хеш сессии
logout – выход из системыcause – причина
Возможные значения cause:
- timeout – истекло время жизни сессии
- manual – пользователь разлогинился
- force – система принудительно удалила сессию
session_hash – хеш сессии
change_password – смена пароляcause – причина
Возможные значения cause:
- employee_update – обновление пароля пользователем
- change_expiration_password – смена пароля с истекшим временем жизни
- reset_password – сброс пароля
- set_password_by_invitation – задание пароля при переходе по ссылке из приглашения
change_enabled_logon – блокировка/разблокировка пользователей
adding_access_role – назначение роли доступаaccess_role_id – идентификатор роли доступа
access_role_name – название роли доступа
removing_access_role – сброс (удаление) роли доступа у пользователяaccess_role_id – идентификатор роли доступа
access_role_name – название роли доступа
adding_access_to_employee – предоставление доступа к пользователюemployee_id – идентификатор пользователя
login – логин пользователя
all – доступ ко всем пользователям
true – вкл
removing_access_to_employee – отзыв доступа к пользователюemployee_id – идентификатор пользователя
login – логин пользователя
all – доступ ко всем пользователям
true – вкл
change_enabled_monitoring – смена значения параметра «Сбор активности»
Событие над объектом: «setting» (Настройки)
update – обновление настроек подключения ADnew_login – новое значение параметра
old_login – старое значение параметра
password_change – изменение пароля
old_ldaps – старое значение протокола LDAPS
new_ldaps – новое значение протокола LDAPS
old_host – старое значение хоста
new_host – новое значение хоста
create_domain_path – добавление пути домена ADid – идентификатор пути домена
name – название
update_domain_path – изменение пути домена ADnew_name – новое название домена
old_name – старое название домена
remove_domain_path – удаление пути домена ADid – идентификатор пути домена
name – название
create_certificate – добавление сертификатаid – идентификатор сертификата
alias – название
update_certificate – изменение сертификатаid – идентификатор сертификата
new alias – новое название
old_alias – новое название
remove_certificate – удаление сертификатаid – идентификатор сертификата
alias – название
create_ad_attribute_scheme – создание схемы пользовательского атрибута синхронизации ADid – идентификатор схемы атрибута
name – название
active – активность
base – предустановленная схема атрибута
Возможные значения base:
- true – вкл
- false – выкл
ad_employee_field_scheme_id – идентификатор схемы поля пользователя
update_ad_attribute_scheme – изменение схемы атрибута синхронизации ADid – идентификатор схемы атрибута
name – название
active – активность
ad_employee_field_scheme_id – идентификатор схемы поля пользователя
remove_ad_attribute_scheme – удаление схемы атрибута синхронизации ADid – идентификатор схемы атрибута
name – название
create_ad_employee_field_scheme – создание схемы поля пользователяid – идентификатор схемы поля
name – название
static – предустановленная схема
update_ad_employee_field_scheme – изменение схемы поля пользователяid – идентификатор схемы поля
name – название
remove_ad_employee_field_scheme – удаление схемы поля пользователяid – идентификатор схемы поля
name – название
change_activity_filter_type – смена значения у параметра «Режим фильтра»
Объект: «access_role» (Роли доступа)

Данные объекта «Роли доступа»:
id – идентификатор пользователя
name – название роли доступа
create – созданиеname – название
update – изменениеold_name – старое название
new_name – новое название
remove – удаление
change_privilege – изменениеprivilege – название привилегии
old_operations – старое значение операции доступа
new_operations – новое значение операции доступа
Объект: «authentication» (Аутентификация)

Данные объекта «Аутентификация»:
id – идентификатор аутентификации
name – название аутентификации
type – тип аутентификации
create – создание аутентификацииname – название
update – изменение параметров аутентификацииnew_name – новое название
old_name – старое название
remove – удаление аутентификации
change_complex_password – включение/выключение контроля сложности пароляnew_value – новое значение параметра
old_value – старое значение параметра
Возможные значения:
- true – вкл
- false – выкл
change_min_password_length – изменение минимальной длины пароляnew_value – новое значение параметра
old_value – старое значение параметра
change_password_expiration_time – изменение срока действия пароляnew_value – новое значение параметра
old_value – старое значение параметра
change_max_invalid_logon_count – изменение лимитов на invalid logonnew_value – новое значение параметра
old_value – старое значение параметра
Объект: «api_key» (Ключи API)

Данные объекта «Ключи API»:
id – идентификатор пользователя
name – название роли доступа
create – созданиеname – название
update – изменениеold_name – старое название
new_name – новое название
remove – удаление
change_privilege – изменение привилегииprivilege – название привилегии
old_operations – старое значение операции доступа
new_operations – новое значение операции доступа
logon – авторизация в системеstatus – статус
sessionHash – хеш сессии
Возможные значения status:
- success – успешно
- fail – ошибка
sessionHash – не обязательное поле, только для авторизации через AD
logout – выход из системы (только для авторизации через AD)cause – причина
session_hash – хеш сессии
Возможные значения cause:
- timeout — истекло время жизни сессии
- manual — пользователь разлогинился
- force — система принудительно удалила сессию
Объект: «department» (Отдел)

Данные объекта «Отдел»:
id – идентификатор отдела
name – название отдела
create – созданиеname – название отдела
id – идентификатор отдела
update – изменениеold_name – старое название отдела
new_name – новое название отдела
id – идентификатор отдела
remove – удалениеname – название отдела
id – идентификатор отдела

Примеры записей событий модуля «Платформа» в журнале безопасности

Инициализация, объект — система:

<37>1~2024-03-22T10:28:24+03:00~c-066-im~infomaximum~2716~initialize~[meta sequenceId="1"]~[source@729368 trace="s168870325" type="system"]~[event@729368]~[target@729368 module="platform" type="system"]

Создание роли доступа:

<37>1~2024-03-22T10:31:56+03:00~c-066-im~infomaximum~2716~create~[meta sequenceId="5"]~[system@729368 version.platform="1.0.25.0"]~[source@729368 trace="r1196217484" session_hash="0fccb5a7f0e06044d087b4028922aa5537ba6200750ee2d9e784c9d1c0a818df" id="1" remote_address="[0:0:0:0:0:0:0:1\]" type="employee" login="admin"]~[event@729368 name="Новая роль доступа"]~[target@729368 module="platform" name="Новая роль до ступа" id="11" type="access_role"]

Модуль «Active Directory»

СобытиеПараметры
Объект: «ad_sync» (Синхронизация Active Directory)
ad_sync_start – начало синхронизации с Active Directory
ad_sync_end – окончание синхронизации с Active Directory
Объект: «ad_account» (Интеграция Active Directory: аккаунт)

Данные объекта «Аккаунт AD»:
id – идентификатор учетной записи AD
create – создание связи с учетной записью ADguid – objectGUID атрибут
employee_id – идентификатор пользователя
distinguished_name – отличительное имя
user_principal_name – имя учетной записи
common_account_name – имя учетной записи
update – обновление связи с учетной записью ADnew_guid – новое значение guid
old_guid – старое значение guid
new_employee_id – новое значение employee_id
old_employee_id – старое значение employee_id
new_distinguished_name – новое значение distinguished_name
old_distinguished_name – старое значение distinguished_name
new_user_principal_name – новое значение user_principal_name
old_user_principal_name – старое значение user_principal_name
new_common_account_name – новое значение common_account_name
old_common_account_name – старое значение common_account_name
remove – удаление связи с учетной записью ADguid – objectGUID атрибут
employee_id – идентификатор пользователя
user_principal_name – имя учетной записи
common_account_name – имя учетной записи
Объект: «ad_attribute» (Интеграция Active Directory: атрибут)

Данные объекта «Атрибут AD»:
id – идентификатор Атрибута AD
ad_attribute_scheme_id – идентификатор схемы атрибута AD
create – создание пользовательского атрибутаad_attribute_scheme_id – идентификатор схемы атрибута AD
ad_account_id – ID учетной записи AD
value – значение атрибута
update – обновление пользовательского атрибутаnew_ad_attribute_scheme_id – новое значение ID схемы атрибута AD
old_ad_attribute_scheme_id – старое значение ID схемы атрибута AD
new_ad_account_id – новое значение ID учетной записи AD
old_ad_account_id – старое значение ID учетной записи AD
new_value – новое значение атрибута
old_value – старое значение атрибута
remove – удаление пользовательского атрибута
Объект: «ad_employee_field» (Интеграция Active Directory: пользовательское поле)

Данные объекта «Пользовательское поле»:
id – идентификатор поля пользователя
ad_employee_field_scheme_id – идентификатор схемы поля пользователя
create – создание пользовательского поляad_employee_field_scheme_id – идентификатор схемы поля пользователя
employee_id – идентификатор пользователя
value – значение поля
update – обновление пользовательского поляnew_ad_employee_field_scheme_id – новое значение ID схемы поля пользователя
old_ad_employee_field_scheme_id – старое значение ID схемы поля пользователя
new_employee_id – новое значение ID пользователя
old_employee_id – старое значение ID пользователя
new_value – новое значение поля
old_value – старое значение поля
remove – удаление пользовательского поля
Объект: «domain_controller_connection» (Синхронизация)

Данные объекта «Синхронизация»:
id — идентификатор синхронизации
create — созданиеname — название синхронизации
host — адрес контроллера домена
login — логин
ldaps
Возможные значения ldaps:
- trueldaps используется
- falseldaps не используется
update — изменениеold_name — старое название
new_name — новое название
remove — удалениеname — название синхронизации
host — адрес контроллера домена
login — логин синхронизации
Объект: «domain_controller» (Контроллер домена)

Данные объекта «Контроллер домена»:
id — идентификатор синхронизации
create — созданиеlogin — название контроллера домена
host — хост
ldaps
Возможные значения ldaps:
- trueldaps используется
- falseldaps не используется
update — изменениеold_host — старый хост
new_host — новый хост
remove — удалениеhost — хост
login — название контроллера домена
remove_certificate — удаление сертификатаid — ID сертификата
alias — название
Объект: «saml_authentication» (Аутентификация SAML)

Данные объекта «Аутентификация SAML»:
id — идентификатор аутентификации
create_saml_authentication — создание аутентификации SAMLidp_metadata_path — путь к файлу с метаданными
id — идентификатор аутентификации
auth_field_type — поле для сопоставления данных
update_saml_authentication — изменение аутентификации SAMLold_idp_metadata_path – старый путь к файлу с метаданными
new_idp_metadata_path — новый путь к файлу с метаданными
new_auth_field_type — новое поле для сопоставления данных
old_auth_field_type — старое поле для сопоставления данных
remove_saml_authentication — удаление аутентификации SAMLidp_metadata_path — путь к файлу с метаданными
id — идентификатор аутентификации
auth_field_type — поле для сопоставления данных
Объект: «settings» (Настройки)
create_kerberos_auth_config — создание аутентификации Kerberoshost_kdc — адрес KDC
keytab_path — путь к keytab-файлу
id — идентификатор аутентификации
change_native_auth_enabled — создание стандартной аутентификации Windowsold_value — старое значение параметра
Возможные значения old_value:
- true
- false
new_value — новое значение параметра
Возможные значения new_value:
- true
- false
update_kerberos_auth_config — изменение аутентификации Kerberosnew_host_kdc — новый адрес KDC
old_host_kdc — старый адрес KDC
new_keytab_path — новый путь к keytab-файлу
old_keytab_path –— старый путь к keytab-файлу
remove_kerberos_auth_config — удаление аутентификации Kerberoshost_kdc — адрес KDC
keytab_path — путь к keytab-файлу
id — идентификатор аутентификации

Примеры записей событий модуля «Active Directory» в журнале безопасности

Переименование синхронизации:

<37>1~2024-03-22T10:40:42+03:00~c-066-im~infomaximum~2716~update~[meta sequenceId="171"]~[system@729368 version.platform="1.0.25.0"]~[source@729368 trace="r1807136494" session_hash="4e1c5e544eaf6862467fbb7e158a2718502c1fa6aae9c5a52759e9a9c14bf6a0" id="2" remote_address="[0:0:0:0:0:0:0:1\]" type="employee" login="admin"]~[event@729368 old_name="департамент №12" new_name="департамент №12. восточный филиал"]~[target@729368 module="ActiveDirectory" id="1" type="domain_controller_connection"]

Синхронизация пользователей:

<37>1~2024-03-22T10:40:28+03:00~c-066-im~infomaximum~2716~ad_sync_end~[meta sequenceId="170"]~[system@729368 version.platform="1.0.25.0"]~[source@729368 trace="s1198549644" type="system"]~[event@729368]~[target@729368 module="ActiveDirectory" type="ad_sync"]

Модуль «ClickHouse»

СобытиеПараметры
Объект: «ClickHouse_connection» (Настройка соединения с ClickHouse)
create_connection — создание подключенияconnection_guid — GUID подключения
new_host — хост
new_port — порт
new_user — имя пользователя
new_ssl — SSL-сертификат
Возможные значения new_ssl:
- true — вкл
- false — выкл
with_ssl_root_cert — авторизация с помощью SSL-сертификата
Возможные значения with_ssl_root_cert:
- true — вкл
- false — выкл
with_user_password — авторизация с помощью логина и пароля
Возможные значения with_user_password:
- true — вкл
- false — выкл
update_connection — изменение подключенияconnection_guid — GUID подключения
old_host — старый хост
old_port — старый порт
old_user — старое имя пользователя
old_ssl — старый SSL-сертификат
new_host — новый хост
new_port — новый порт
new_user — новое имя пользователя
new_ssl — новый SSL-сертификат
with_ssl_root_cert — авторизация с помощью ssl-сертификата
Возможные значения with_ssl_root_cert:
- true — вкл
- false — выкл
with_user_password — авторизация с помощью логина и пароля
Возможные значения with_user_password:
- true — вкл
- false — выкл
remove_connection

Примеры записей событий модуля «ClickHouse» в журнале безопасности

Изменение порта:

<37>1~2024-03-22T10:46:21+03:00~c-066-im~infomaximum~2716~update_connection~[meta sequenceId="176"]~[system@729368 version.platform="1.0.25.0"]~[source@729368 trace="r1698408261" session_hash="4e1c5e544eaf6862467fbb7e158a2718502c1fa6aae9c5a52759e9a9c14bf6a0" id="2" remote_address="[0:0:0:0:0:0:0:1\]" type="employee" login="admin"]~[event@729368 connection_guid="1c67a8b9-2160-4985-932d-bcc27eaaeffc" with_user_password="true" new_port="2260" old_port="2261"]~[target@729368 module="ClickHouseStandalone" type="ClickHouse_connection"]

Модуль «Бизнес-аналитика»

СобытиеПараметры
Объект: «dashboаrd» (Дашборд)
access.adding_dash_creation_access – добавление права создания дашбордаemployee_id – идентификатор пользователя
login – логин пользователя
access.removing_dash_creation_access – удаление права созданияemployee_id – идентификатор пользователя
login – логин пользователя
access.adding_write_access – добавление права редактированияemployee_id – идентификатор пользователя
login – логин пользователя
access.removing_write_access – удаление права редактированияemployee_id – идентификатор пользователя
login – логин пользователя
access.adding_read_access – добавление права чтенияemployee_id – идентификатор пользователя
login – логин пользователя
access.removing_read_access – удаление права чтенияemployee_id – идентификатор пользователя
login – логин пользователя
Объект: «workspace» (Пространство)
access.adding_dash_creation_access – добавление права создания дашбордаemployee_id – идентификатор пользователя
login – логин пользователя
access.removing_dash_creation_access – удаление права созданияemployee_id – идентификатор пользователя
login – логин пользователя
access.adding_write_access – добавление права редактированияemployee_id – идентификатор пользователя
login – логин пользователя
access.removing_write_access – удаление права редактированияemployee_id – идентификатор пользователя
login – логин пользователя
access.adding_read_access – добавление права чтенияemployee_id – идентификатор пользователя
login – логин пользователя
access.removing_read_access – удаление права чтенияemployee_id – идентификатор пользователя
login – логин пользователя

Примеры записей событий модуля «Бизнес-аналитика» в журнале безопасности

Удаление пространства «Некое пространство»:

<37>1~2024-03-22T10:34:19+03:00~c-066-im~infomaximum~2716~remove~[meta sequenceId="13"]~[system@729368 version.platform="1.0.25.0"]~[source@729368 trace="r1522015393" session_hash="0fccb5a7f0e06044d087b4028922aa5537ba6200750ee2d9e784c9d1c0a818df" id="1" remote_address="[0:0:0:0:0:0:0:1\]" type="employee" login="admin"]~[event@729368]~[target@729368 module="Workspaces" name="Некое пространство" id="1" type="workspace"]

Назначение доступа на создание дашбордов:

<37>1~2024-03-22T10:43:57+03:00~c-066-im~infomaximum~2716~adding_dash_creation_access~[meta sequenceId="174"]~[system@729368 version.platform="1.0.25.0"]~[source@729368 trace="r2058536852" session_hash="4e1c5e544eaf6862467fbb7e158a2718502c1fa6aae9c5a52759e9a9c14bf6a0" id="2" remote_address="[0:0:0:0:0:0:0:1\]" type="employee" login="admin"]~[event@729368 employee_id="28" login="p.petrov"]~[target@729368 module="Workspaces" name="Ипотечное кредитование" id="11" type="workspace"]

Назначение доступа на чтение пространства:

<37>1~2024-03-22T10:44:03+03:00~c-066-im~infomaximum~2716~adding_write_access~[meta sequenceId="175"]~[system@729368 version.platform="1.0.25.0"]~[source@729368 trace="r351447443" session_hash="4e1c5e544eaf6862467fbb7e158a2718502c1fa6aae9c5a52759e9a9c14bf6a0" id="2" remote_address="[0:0:0:0:0:0:0:1\]" type="employee" login="admin"]~[event@729368 employee_id="19" login="i.ivanov"]~[target@729368 module="Workspaces" name="Ипотечное кредитование" id="11" type="workspace"]

Создание дашборда:

<37>1~2024-03-22T10:48:18+03:00~c-066-im~infomaximum~2716~adding_write_access~[meta sequenceId="177"]~[system@729368 version.platform="1.0.25.0"]~[source@729368 trace="r2060748208" session_hash="4e1c5e544eaf6862467fbb7e158a2718502c1fa6aae9c5a52759e9a9c14bf6a0" id="2" remote_address="[0:0:0:0:0:0:0:1\]" type="employee" login="admin"]~[event@729368 employee_id="2" login="admin"]~[target@729368 module="Dashboard" name="Некий дашборд" id="31" type="dashboard"]

Удаление дашборда:

<37>1~2024-03-22T10:48:21+03:00~c-066-im~infomaximum~2716~removing_write_access~[meta sequenceId="178"]~[system@729368 version.platform="1.0.25.0"]~[source@729368 trace="r988430780" session_hash="4e1c5e544eaf6862467fbb7e158a2718502c1fa6aae9c5a52759e9a9c14bf6a0" id="2" remote_address="[0:0:0:0:0:0:0:1\]" type="employee" login="admin"]~[event@729368 employee_id="2" login="admin"]~[target@729368 module="Dashboard" name="Некий дашборд" id="31" type="dashboard"]

Модуль «Мониторинг»

СобытиеПараметры
Объект: «employee» (Пользователь)
change_enabled_monitoring – смена значения у параметра «Сбор активности»DISABLE – выкл (по умолчанию)
SIMPLE – базовый мониторинг
EXTENDED – расширенный мониторинг
Объект: «settings» (Настройки)
change_activity_filter_type – смена значения у параметра «Режим фильтра»old_value – старое значение
new_value – новое значение
Возможные значения:
- none
- white
- black
Объект: «black» (Черный список)
create – добавление маски активностиpattern – название маски активности
update – изменение названия маски активностиold_pattern – старое название
new_pattern – новое название
remove – удаление маски активностиpattern – название маски активности
Объект: «white» (Белый список)
create – добавление маски активностиpattern – название маски активности
update – изменение названия маски активностиold_pattern – старое название
new_pattern – новое название
remove – удаление маски активностиpattern – название маски активности

Пример записи модуля «Мониторинг» в журнале безопасности

Смена значения у параметра «сбор активности»:

<37>1~2024-03-21T14:46:55+03:00~c-013-tst~infomaximum~7284~change_enabled_monitoring~[meta sequenceId="1237"]~[system@729368 version.platform="1.0.25.0"]~[source@729368 trace="r1292059100" session_hash="c301128b9ff83324397113b8809eddfc7db73fc35d7c4e0e678b508412f603aa" id="1" remote_address="[0:0:0:0:0:0:0:1\]" type="employee" login="admin"]~[event@729368 old_value="DISABLED" new_value="SIMPLE"]~[target@729368 module="platform" id="1" type="employee" login="admin"]
<37>1~2024-03-21T14:48:00+03:00~c-013-tst~infomaximum~7284~change_enabled_monitoring~[meta sequenceId="1245"]~[system@729368 version.platform="1.0.25.0"]~[source@729368 trace="r1593027276" session_hash="c301128b9ff83324397113b8809eddfc7db73fc35d7c4e0e678b508412f603aa" id="1" remote_address="[0:0:0:0:0:0:0:1\]" type="employee" login="admin"]~[event@729368 old_value="SIMPLE" new_value="EXTENDED"]~[target@729368 module="platform" id="1" type="employee" login="admin"]

Модуль «Автоматизация»

Логирование выполняется для следующих блоков:

Для перечисленных блоков записывается SQL-запрос и параметры подключения. Логирование выполняется для всех типов подключений, включая PostgreSQL и MSSQL.

Логируемые события и их параметры представлены в таблице ниже.

СобытиеПараметры
Объект: «connection» (Подключения)
create – созданиеsource – источник (тип подключения, например, PostgreSQL, CH и пр.)
name – название подключения в пространстве
host – хост, адрес подключения
port – порт сервера, к которому выполняется попытка соединения
username – логин для подключения, задаваемый в Proceset
ssl – сертификат:
- true
- false
id – идентификатор подключения
workspace_id – идентификатор пространства, в котором создаётся подключение
name_service (опционально для некоторых подключений) – название службы (например, в Oracle)
name_database (опционально для некоторых подключений) – название базы данных (например, в PostgreSQL)
type_encryption (опционально для некоторых подключений) – тип шифрования (например, в Почта SMPT)
Возможные значения type_encryption:
- ssl
- tls
update – изменениеold_name – старое название подключения в Proceset (в пространстве)
new_name – новое название подключения
old_host – старый хост, адрес подключения
new_host – новый хост, адрес подключения
old_port – старый порт сервера, к которому выполняется попытка соединения
new_port – новый порт сервера, к которому выполняется попытка соединения
old_username – логин для подключения, задаваемый в Proceset
new_username– логин для подключения, задаваемый в Proceset
old_ssl – старый сертификат
new_ssl – новый сертификат
Возможные значения ssl:
- true
- false
old_name_service (опционально для некоторых подключений) – старое название службы (например, в Oracle)
new_name_service (опционально для некоторых подключений) – новое название службы (например, в Oracle)
old_name_database (опционально для некоторых подключений) – старое название базы данных (например, в PostgreSQL)
new_name_database (опционально для некоторых подключений) – новое название базы данных (например, в PostgreSQL)
old_type_encryption (опционально для некоторых подключений) – старый тип шифрования (например, в Почта SMPT)
new_type_encryption (опционально для некоторых подключений) – новый тип шифрования (например, в «Почта (SMPT)»)
Возможные значения type_encryption:
- ssl
- tls
id – идентификатор подключения, которое обновляется
workspace_id – идентификатор пространства, в котором обновляется подключение
remove – удалениеid – идентификатор подключения, которое удаляется
workspace_id – идентификатор пространства, в котором удаляется подключение
connecting – соединениеscript_id – идентификатор скрипта, в котором используется подключение
source – источник (тип подключения, например, PostgreSQL, CH и пр.)
name – название подключения
host – хост, адрес подключения
port – порт сервера, к которому выполняется попытка соединения
username – логин для подключения, задаваемый в Proceset
ssl – сертификат
Возможные значения ssl:
- true
- false
id – идентификатор подключения
workspace_id – идентификатор пространства, из которого выполняется запрос
query – полный SQL-запрос, который выполняется
status – статус выполнения запроса
Возможные значения status:
- success – успешное выполнение запроса
- unsuccessful – неуспешное выполнение запроса
error_name – полное название ошибки, которое возвращается системой в случае, если соединение неуспешное
Объект: «script» (Скрипт)
execute – запуск скриптаscript_id – идентификатор скрипта

Примеры записей событий модуля «Автоматизация» в журнале безопасности

Создание подключения:

<37>1~2024-03-20T10:32:57+03:00~c-014-tst~infomaximum~11400~create~[meta sequenceId="254"]~[system@729368 version.platform="1.0.25.0"]~[source@729368 trace="r1470255862" session_hash="10478e194ea27df9fc3b554291ee884f7e27587e8b39b15254d254cea161a87a" id="1" remote_address="[0:0:0:0:0:0:0:1\]" type="employee" login="admin"]~[event@729368 workspace_id="3" name_service="test" port="123" name="OracleConnection" host="test" id="13" source="oracle" username="test"]~[target@729368 module="Automation" type="connection"]

Изменение данных подключения:

<37>1~2024-03-20T10:23:45+03:00~c-014-tst~infomaximum~11400~update~[meta sequenceId="248"]~[system@729368 version.platform="1.0.25.0"]~[source@729368 trace="r893051867" session_hash="10478e194ea27df9fc3b554291ee884f7e27587e8b39b15254d254cea161a87a" id="1" remote_address="[0:0:0:0:0:0:0:1\]" type="employee" login="admin"]~[event@729368 workspace_id="3" old_host="smtp.mail.ru" new_username="changed@mail.ru" new_host="changed.mail.ru" old_name="Mail" new_port="321" new_email_address="changed@mail.ru" id="10" old_port="123" new_name="ChangedMail" old_email_address="test@mail.ru" old_username="test@mail.ru"]~[target@729368 module="Automation" type="connection"]

Удаление подключения:

<37>1~2024-03-20T10:07:44+03:00~c-014-tst~infomaximum~11400~remove~[meta sequenceId="243"]~[system@729368 version.platform="1.0.25.0"]~[source@729368 trace="r1071194879" session_hash="10478e194ea27df9fc3b554291ee884f7e27587e8b39b15254d254cea161a87a" id="1" remote_address="[0:0:0:0:0:0:0:1\]" type="employee" login="admin"]~[event@729368 workspace_id="3" id="6"]~[target@729368 module="Automation" type="connection"]

Тестирование блока с подключением:

<37>1~2024-03-20T10:29:26+03:00~c-014-tst~infomaximum~11400~connecting~[meta sequenceId="253"]~[system@729368 version.platform="1.0.25.0"]~[source@729368 trace="s877951137" type="system"]~[event@729368 port="2003" query="select * from test LIMIT 10" host="t1.infomaximum.com" script_id="4" source="postgres" username="postgres" status="success"]~[target@729368 workspace_id="3" module="Automation" id="2" type="connection"]

Активация скрипта с подключением:

<37>1~2024-03-20T10:28:35+03:00~c-014-tst~infomaximum~11400~connecting~[meta sequenceId="252"]~[system@729368 version.platform="1.0.25.0"]~[source@729368 trace="s732675715" type="system"]~[event@729368 port="2003" query="select * from test" host="t1.infomaximum.com" script_id="4" source="postgres" username="postgres" status="success"]~[target@729368 workspace_id="3" module="Automation" id="2" type="connection"]

Была ли статья полезна?

Да
Нет
Предыдущая
Журналы безопасности
8 (800) 555-89-028 (495) 150-31-45team@infomaximum.com
Для бизнеса
© 20102024. ООО «Инфомаксимум»
Мы используем файлы cookies, чтобы сайт был лучше для вас.