O Gerenciamento de auditoria é a página de gerencie de recursos entre o Access Center e o Risk Audit. Use esta página e configure a detecção de riscos de aplicação e de tempo de execução, gerencie o escopo de conversão do rastreamento de aplicações e visualize o status de ingestão dos diversos tipos de dados de auditoria.
Visão geral da página
O Gerenciamento de auditoria oferece os seguintes recursos:
configure a detecção de riscos — gerencie de forma centralizada a ative da detecção de riscos de aplicação e de tempo de execução, além das opções de detecção semântica.
visualize o status da detecção — Ao ative a detecção, visualize o status de execução das tarefas de detecção de aplicação e de tempo de execução, bem como a quantidade de eventos de alto risco nas últimas 24 horas.
gerencie regras de auditoria personalizadas — visualize o total de regras, o status de ative e o resumo de exceções de execução, e acesse a página de gerencie de regras personalizadas.
gerencie o escopo de conversão do rastreamento de aplicações — selecione os service de aplicação cujos Traces você deseja converter em eventos de auditoria e visualize o status da configure de conversão.
visualize dados de log de aplicação de IA e de rastreamento de aplicação — visualize o tipo de Agent, o nome da aplicação do Agent, a hora dos últimos dados e a tendência de volume de eventos nas últimas 24 horas.
visualize dados de ingestão de tempo de execução de IA — visualize o host, o tipo de Agent, a hora dos últimos dados e a tendência de volume de eventos nas últimas 24 horas.
A integração, as regras de coleta e as configurações de sonda de tempo de execução são gerenciadas no Audit Integration Guide.
configure de detecção
O cartão configure de detecção, na parte superior da página, exibe o resumo da configure atual por padrão. Ao clique em edite, você pode ajustar as seguintes configurações:
|
Configuração |
Descrição |
|
Detecção de riscos de aplicação |
Controla o processamento de riscos de |
|
Detecção de riscos de tempo de execução |
Controla o processamento de riscos de |
|
Detecção básica |
Inclui verificações de informações confidenciais e arquivos confidenciais. Entra em vigor automaticamente após a ative de qualquer escopo de detecção de riscos e não pode ser desativada separadamente. |
|
Detecção avançada |
Permite selecione de forma independente injeção de prompt, execução de código inesperada, operações destrutivas, escalonamento de privilégios, persistência, comprometimento de defesas, acesso a credenciais, canais de controle remoto, exposição de rede não autorizada e deturpação dos resultados de execução do Agent. |
|
Análise de intenção do usuário |
Identifica a intenção principal de trabalho e a intenção de risco por usuário e sessão. É ativada automaticamente após a ative de qualquer recurso de detecção avançada e não possui um alternador independente. |
A detecção de riscos de aplicação e de tempo de execução pode ser ativada de forma independente. Os alternadores de detecção de riscos afetam apenas o processamento de riscos e não impactam as consultas de Audit Facts, como Session Browsing, Token Analysis e Behavior Analysis.
Ao clique em salve Configuration, a página envia todas as configurações de uma só vez. Quando você ative uma source de dados de aplicação ou de tempo de execução, ou desative uma source de dados já ative, injeção de prompt ou qualquer recurso de detecção de risco de execução, a página lista as alterações e solicita confirmação.
Após desativar a detecção, o processamento de riscos é pausado. Os resultados de detecção existentes não são excluídos.
A análise de intenção do usuário utiliza eventos de sessão do lado da aplicação e, atualmente, oferece suporte à análise de sessões do Qoder. Após desativar todos os recursos de detecção avançada, nenhum novo resultado de identificação de intenção é gerado. Os resultados históricos existentes não são excluídos.
Regras de auditoria personalizadas
A seção Custom Rules do cartão configure de detecção exibe o total de regras, a quantidade de regras ative e o número de regras com exceções de execução. clique em gerencie. visualize os pipelines de processamento de detecção de comportamento e correlação de eventos, crie regras e gerencie os alternadores e o status de execução das regras. Para mais informações, consulte Custom audit rules.
Status de execução da detecção
Quando a detecção de riscos de aplicação ou de tempo de execução está ative, o status de execução da detecção é exibido na parte superior da página:
execute normally — Todas as tarefas de detecção no escopo ative estão disponíveis e nenhuma exceção foi encontrada nas instâncias de tarefa mais recentes.
Processing delay — As três instâncias de tarefa mais recentes permaneceram no estado de execução.
execute unstable — As tarefas esperadas estão ausentes ou não ative, ou ocorreram falhas nas instâncias de tarefa recentes.
O cartão de status também exibe a quantidade de eventos de alto risco nas últimas 24 horas e fornece um ponto de entrada para o Risk Audit para análises mais aprofundadas. Quando nenhuma detecção de risco de aplicação ou de tempo de execução está ative, este cartão não é exibido.
O service de backend lida de forma centralizada com a crie, atualize, início, parada e exclusão de tarefas, bem como com a manutenção dos recursos dependentes, com base na configure completa. O frontend não salve definições de tarefas, horários de desative ou regras de reconstrução. Ele apenas verifica o status da tarefa de detecção no modo de somente leitura.
Ingestão de dados de rastreamento de aplicação
Se a aplicação de destino já estiver conectada aos Traces de observabilidade, na seção Audit Data Source Ingestion, localize Application Tracing, clique em gerencie Conversion Scope e selecione os valores de serviceName que você deseja conectar à auditoria. Após salve a configure, a página exibe separadamente os AI Application Tracing Data convertidos dos Traces.
Se a mesma aplicação já estiver conectada por meio de logs de aplicação de IA, recomendamos que você não selecione o valor de serviceName correspondente novamente. Para mais informações sobre o procedimento e o escopo de dados, consulte Connect application tracing data to audit.
Dados de log de aplicação de IA
A lista permite filtrar por tipo de Agent e nome da aplicação. A tabela a seguir descreve os campos:
|
Campo |
Descrição |
|
Tipo de Agent |
O identificador de tipo do Agent |
|
Nome da aplicação do Agent |
O nome da aplicação configurado durante a ingestão |
|
Hora dos últimos dados |
A hora em que o evento de aplicação mais recente foi recebido |
|
Tendência de volume de eventos nas últimas 24 horas |
Tendência do volume bruto de eventos nas últimas 24 horas |
|
Ação |
clique em visualize e acesse o Session Browsing com os filtros de tipo de Agent e de aplicação aplicados |
Após a conclusão da ingestão de logs de aplicação no Access Center e a geração de eventos, a aplicação aparece automaticamente na lista.
Dados de ingestão de tempo de execução de IA
A página Gerenciamento de auditoria não fornece um ponto de entrada para a configure de coleta de tempo de execução. As regras de sonda, listas de permissões e bloqueios, e MachineGroups são gerenciados no Audit Integration Guide.
|
Campo |
Descrição |
|
Host |
O host ou instância conectada à coleta de tempo de execução |
|
Tipo de Agent |
O tipo de Agent identificado pelo tempo de execução |
|
Hora dos últimos dados |
A hora em que o evento de tempo de execução mais recente foi recebido |
|
Tendência de volume de eventos nas últimas 24 horas |
Tendência do volume bruto de eventos nas últimas 24 horas |
|
Ação |
clique em visualize e acesse o Session Browsing com o filtro de host aplicado |
Quando a detecção de riscos de tempo de execução não está ative, os eventos brutos de tempo de execução ainda podem ser coletados e navegados, mas nenhum novo resultado de processamento de riscos de tempo de execução é gerado.
FAQ
P: A detecção de riscos de aplicação e a detecção de riscos de tempo de execução precisam ser ativadas simultaneamente?
Não. Ambas podem ser usadas de forma independente.
P: Os dados históricos são excluídos após a desativação da detecção de riscos?
Não. Após desativar a detecção, o processamento de riscos é pausado. Os dados de risco existentes e os logs brutos não são excluídos.