Audit Management es la página de gestión de capacidades que conecta Access Center con Risk Audit. Sirve para configurar la detección de riesgos en aplicaciones y en tiempo de ejecución, gestionar el alcance de conversión del rastreo de aplicaciones y consultar el estado de ingesta de diversos tipos de datos de auditoría.
Descripción general de la página
Audit Management ofrece a continuación capacidades:
Configurar la detección de riesgos: gestione de forma centralizada los interruptores de detección de riesgos en aplicaciones y en tiempo de ejecución, así como las opciones de detección semántica.
Consultar el estado de detección: una vez habilitada la detección, consulte el estado de ejecución de las tareas de detección en aplicaciones y en tiempo de ejecución, junto con la cantidad de eventos de alto riesgo de las últimas 24 horas.
Gestionar reglas de auditoría personalizadas: consulte la cantidad total de reglas, su estado de habilitación y el resumen de excepciones de ejecución. También acceda a la página de gestión de reglas personalizadas.
Gestionar el alcance de conversión del rastreo de aplicaciones: seleccione los servicios de aplicación cuyos Traces desea convertir en eventos de auditoría y consulte el estado de la configuración de conversión.
Consultar los registros de aplicaciones de IA y los datos de rastreo de aplicaciones: revise el tipo de Agent, el nombre de la aplicación del Agent, la hora del último dato y la tendencia del volumen de eventos durante las últimas 24 horas.
Consultar los datos de ingesta de tiempo de ejecución de IA: revise el host, el tipo de Agent, la hora del último dato y la tendencia del volumen de eventos durante las últimas 24 horas.
La incorporación, las reglas de recopilación y las configuraciones de los probes de tiempo de ejecución se gestionan en la Audit Integration Guide.
Configuración de detección
La tarjeta Detection Configuration, ubicada en la parte superior de la página, muestra de forma predeterminada un resumen de la configuración actual. Haga clic en Edit para ajustar a continuación configuraciones:
|
Configuración |
Descripción |
|
Application risk detection |
Controla el procesamiento de riesgos |
|
Runtime risk detection |
Controla el procesamiento de riesgos |
|
Basic detection |
Incluye comprobaciones de información confidencial y archivos confidenciales. Entra en vigor automáticamente cuando se habilita cualquiera de los alcances de detección de riesgos y no se puede deshabilitar por separado. |
|
Advanced detection |
Permite seleccionar de forma independiente la inyección de prompts, la ejecución inesperada de código, las operaciones destructivas, la escalada de privilegios, la persistencia, la reducción de defensas, el acceso a credenciales, los canales de control remoto, la exposición no autorizada de red y la tergiversación de resultados de ejecución del Agent. |
|
User intent analysis |
Identifica la intención principal de trabajo y la intención de riesgo por usuario y sesión. Se habilita automáticamente al activar cualquier capacidad de detección avanzada y no cuenta con un interruptor independiente. |
La detección de riesgos en aplicaciones y en tiempo de ejecución se puede habilitar de manera independiente. Los interruptores de detección de riesgos solo afectan el procesamiento de riesgos. No influyen en las consultas de Audit Facts, como Session Browsing, Token Analysis y Behavior Analysis.
Al hacer clic en Save Configuration, la página envía todas las configuraciones de una sola vez. Cuando se habilita un origen de datos de aplicación o de tiempo de ejecución, o bien se deshabilita un origen de datos ya activo, la inyección de prompts o cualquier capacidad de detección de riesgos de ejecución, la página enumera los cambios y solicita confirmación.
Cuando se deshabilita la detección, el procesamiento de riesgos se pausa. Los resultados de detección existentes no se eliminan.
El análisis de intención del usuario utiliza los eventos de sesión del lado de la aplicación y actualmente admite el análisis de sesiones de Qoder. Si se deshabilitan todas las capacidades de detección avanzada, no se generan nuevos resultados de identificación de intenciones. Los resultados históricos existentes no se eliminan.
Reglas de auditoría personalizadas
La sección Custom Rules de la tarjeta Detection Configuration muestra la cantidad total de reglas, cuántas están habilitadas y cuántas presentan excepciones de ejecución. Haga clic en Manage Rules para consultar los pipelines de procesamiento de detección de comportamiento y correlación de eventos, crear reglas y gestionar sus interruptores y estados de ejecución. Para obtener más información, consulte Custom audit rules.
Estado de ejecución de la detección
Cuando la detección de riesgos en aplicaciones o en tiempo de ejecución está habilitada, el estado de ejecución se muestra en la parte superior de la página:
Running normally: todas las tareas de detección dentro del alcance habilitado están disponibles y no se encontraron excepciones en las instancias de tarea más recientes.
Processing delay: las tres instancias de tarea más recientes permanecieron en estado de ejecución.
Running unstable: faltan tareas esperadas, estas no están habilitadas o se produjeron errores en instancias de tarea recientes.
La tarjeta de estado también muestra la cantidad de eventos de alto riesgo de las últimas 24 horas y proporciona un punto de entrada a Risk Audit para un análisis más detallado. Esta tarjeta no aparece si ninguna de las dos detecciones de riesgos está habilitada.
El servicio de backend gestiona de forma centralizada la creación, actualización, inicio, detención y eliminación de tareas, así como el mantenimiento de los recursos dependientes, con base en la configuración completa. El frontend no guarda definiciones de tareas ni tiempos de deshabilitación, tampoco reconstruye reglas; únicamente comprueba el estado de las tareas de detección en modo de solo lectura.
Ingesta de datos de rastreo de aplicaciones
Si la aplicación de destino ya está conectada a los Traces de observability, vaya a la sección Audit Data Source Ingestion, busque Application Tracing, haga clic en Manage Conversion Scope y seleccione los valores de serviceName que desea conectar a la auditoría. Después de guardar la configuración, la página muestra por separado los AI Application Tracing Data convertidos a partir de los Traces.
Si la misma aplicación ya está conectada mediante registros de aplicaciones de IA, se recomienda no volver a seleccionar el serviceName correspondiente. Para obtener más información sobre el procedimiento y el alcance de los datos, consulte Connect application tracing data to audit.
Datos de registros de aplicaciones de IA
La lista permite filtrar por tipo de Agent y nombre de aplicación. A continuación se describen los campos:
|
Campo |
Descripción |
|
Agent type |
El identificador de tipo del Agent. |
|
Agent application name |
El nombre de la aplicación configurado durante la ingesta. |
|
Last data time |
La hora en la que se recibió el evento de aplicación más reciente. |
|
Event volume trend over the last 24 hours |
La tendencia del volumen de eventos sin procesar durante las últimas 24 horas. |
|
Action |
Haga clic en View para ir a Session Browsing con los filtros de tipo de Agent y aplicación aplicados. |
Una vez completada la ingesta de registros de la aplicación en Access Center y generados los eventos, la aplicación aparece automáticamente en la lista.
Datos de ingesta de tiempo de ejecución de IA
La página Audit Management no incluye un punto de entrada para la configuración de recopilación en tiempo de ejecución. Las reglas de probe, las listas de permitidos y bloqueados, y los MachineGroups se gestionan en la Audit Integration Guide.
|
Campo |
Descripción |
|
Host |
El host o instancia conectado a la recopilación en tiempo de ejecución. |
|
Agent type |
El tipo de Agent identificado por el entorno de ejecución. |
|
Last data time |
La hora en la que se recibió el evento de tiempo de ejecución más reciente. |
|
Event volume trend over the last 24 hours |
La tendencia del volumen de eventos sin procesar durante las últimas 24 horas. |
|
Action |
Haga clic en View para ir a Session Browsing con el filtro de host aplicado. |
Aunque la detección de riesgos en tiempo de ejecución no esté habilitada, los eventos sin procesar se pueden recopilar y consultar. Sin embargo, no se generarán nuevos resultados de procesamiento de riesgos en tiempo de ejecución.
Preguntas frecuentes
P: ¿Es necesario habilitar al mismo tiempo la detección de riesgos en aplicaciones y la detección de riesgos en tiempo de ejecución?
No. Ambas se pueden usar de forma independiente.
P: ¿Se eliminan los datos históricos después de deshabilitar la detección de riesgos?
No. Al deshabilitar la detección, el procesamiento de riesgos se pausa. Los datos de riesgo existentes y los registros sin procesar no se eliminan.