Registro de auditoría
Qué registra SONAR en Reports & Audits › Audits y en la pestaña Audits: inicios de sesión, cambios, comandos, scripts, sesiones remotas y acciones masivas, con filtros, exportación y retención.
Qué es y cuándo usarlo
El registro de auditoría es la lista de las acciones que las personas realizan a través de la consola y de la API: quién inició sesión, quién cambió qué objeto, quién ejecutó un comando o un script en qué dispositivo, quién abrió una sesión remota, quién lanzó una acción masiva. Cada entrada conserva el usuario, la hora, la dirección de origen, un mensaje y, en los cambios de objetos, los valores de antes y de después del cambio.
Úselo para responder a una pregunta sobre el pasado: quién eliminó ese dispositivo, quién cambió la plantilla de alerta predeterminada, qué scripts se ejecutaron en WS-0001 la semana pasada, quién no consiguió iniciar sesión esta mañana.
Las mismas entradas se muestran en dos lugares:
Reports & Audits › Audits
Todo el registro, con filtros de ámbito, usuario, acción, objeto y período
La pestaña Audits del dispositivo
Solo las entradas registradas para ese dispositivo
Antes de empezar
Su rol necesita View Audit Logs (grupo Logs en Admin Center › Roles). Sin ese permiso, Audits no aparece en el menú y la pestaña Audits del dispositivo no devuelve datos. Vea Roles y permisos.
Las entradas más antiguas que el período de retención de auditoría ya no están disponibles. Revise primero Admin Center › Settings › Retention; vea Retención de datos.
Qué se registra
Login
Un usuario inicia sesión en la consola
jdoe logged in successfully
Failed Login
Se rechaza una contraseña o un código de doble factor
jdoe failed to login: Credentials were rejected, o ...: Two Factor token rejected
Add Object, Modify Object, Delete Object
Un usuario crea, cambia o elimina un objeto a través de la consola o de la API
jdoe modified client CLIENT-A
Agent Install
Un agente nuevo se registra en SONAR
Nombra el nuevo dispositivo, por ejemplo ... installed new agent WS-0001
Execute Command
Se envía un comando a un dispositivo
jdoe issued powershell command on WS-0001.
Execute Script
Se ejecuta un script en un dispositivo, o se prueba
jdoe ran script: "Clear temp" on WS-0001
Remote Session
Un usuario abre el acceso remoto a un dispositivo
Nombra al usuario y el dispositivo
Bulk Action
Se ejecuta de forma masiva un comando, un script o una acción de actualizaciones, o se mueven dispositivos entre sitios de forma masiva
jdoe executed bulk script: Clear temp on all agents within client: CLIENT-A
URL Action
Se ejecuta una acción de URL contra un dispositivo, un cliente o un sitio, o se prueba una acción de URL o un webhook
Nombra la URL y el destino
Los cambios de objetos abarcan dispositivos, clientes, sitios, usuarios, roles, claves de API, scripts, checks, tareas automatizadas, políticas de automatización, políticas de actualizaciones, plantillas de alerta, los ajustes de Settings, campos personalizados, entradas del almacén de claves, acciones de URL, webhooks y políticas de acceso. Un cambio solo se escribe cuando un valor cambió de verdad; guardar un formulario sin cambios no añade nada.
Cuando se elimina un dispositivo, el motivo escrito en la confirmación se añade al mensaje de Delete Object.
Las verificaciones de MFA reforzada (step-up) también se registran. Aparecen con la acción Mfa Stepup o Failed Mfa Stepup.
Pasos
Buscar en todo el registro
Abra Reports & Audits › Audits. La página se abre en Sonar Audits, con la última semana, de lo más reciente a lo más antiguo.
En Scope, elija Clients o Agents y luego seleccione una o varias entradas en la lista Clients o Agent. Deje ambas vacías para buscar en todo.
En User, seleccione uno o varios usuarios en Users.
En Actions, haga clic en los botones que desee: Login, Failed Login, Add, Modify, Delete, Agent Install. Un segundo clic desactiva el botón.
En More Actions, seleccione otras acciones en Action, como Execute Command, Execute Script, Remote Session, Bulk Action o URL Action.
En Object, seleccione los tipos de objeto que desea conservar, como Client, User o Core Settings.
En Time Window, elija el período, de Today a All Time.
Haga clic en Apply Filters.
Haga clic en una fila para abrir Audit details con los valores registrados.
Para exportar las filas, haga clic en el icono de descarga (Export) encima de la tabla.
Revisar un dispositivo
Seleccione el dispositivo en la lista de dispositivos para abrir su panel.
Abra la pestaña Audits.
Afine con Users, Action, Time o los botones de acción. La lista se actualiza en cuanto cambia un filtro.
Haga clic en una fila para abrir Audit details.
Qué debe ver
Una tabla de entradas con la hora, el usuario, la acción como una insignia de color (verde para altas e instalaciones, amarillo para cambios, rojo para eliminaciones e inicios de sesión fallidos, azul para el resto), el tipo de objeto, el mensaje y la dirección de origen. En las entradas registradas para un dispositivo, Client y Site muestran el cliente y el sitio a los que pertenece ese dispositivo.
Debajo de la tabla, un selector fija 25, 50, 100, 500 o 1000 filas por página, y Page 1 of N, con las flechas, permite pasar de una página a otra.
Audit details se abre a la derecha, con el mensaje como subtítulo y dos bloques, Before y After. Una entrada Add Object solo tiene valor en After, una entrada Delete Object solo en Before, y una entrada Modify Object tiene ambos, para que pueda compararlos campo por campo. Las entradas sin nada que mostrar indican No data. En las políticas de acceso, los bloques indican Content restricted; el historial de cambios se guarda en el Audit Trail de la propia política (vea Políticas de acceso).
La exportación es un archivo CSV llamado export.csv con las columnas de la tabla. Contiene las filas de la página cargada en ese momento.
Cómo verificar que funcionó
Cierre la sesión, inicie sesión una vez con una contraseña incorrecta y luego inicie sesión correctamente.
Abra Reports & Audits › Audits, fije Time Window en Today, haga clic en los botones Login y Failed Login y luego en Apply Filters. Ambos intentos deben aparecer con su nombre de usuario, con su dirección en Client IP.
Cambie un valor en Admin Center › Settings › General, por ejemplo Default date format, y guarde.
De vuelta en Audits, desactive los botones de acción, seleccione Core Settings en Object y aplique. Debe aparecer una entrada Modify Object; su Audit details muestra el valor antiguo en Before y el nuevo en After.
Envíe un comando inofensivo a un dispositivo de prueba y luego abra la pestaña Audits de ese dispositivo. Debe haber una entrada Execute Command arriba del todo.
Errores comunes
La entrada esperada no aparece
El Time Window la excluye
Amplíelo, hasta All Time
La entrada falta incluso con All Time
Es más antigua que el período de retención de auditoría
Las entradas que superan el período se eliminan; aumente Audit Logs (days) en Admin Center › Settings › Retention para el futuro
Los inicios de sesión y los cambios de ajustes desaparecen al seleccionar un cliente
Clients y Agent solo coinciden con entradas registradas para un dispositivo
Vacíe la lista Clients o Agent y vuelva a aplicar
Audits no aparece en el menú
Al rol le falta View Audit Logs
Concédalo en Admin Center › Roles
La exportación tiene menos filas que el total
La exportación toma la página cargada en ese momento
Fije 1000 filas por página y exporte cada página
No se registra nada de los datos que envió un agente
El registro recoge las acciones de usuarios y de claves de API
Revise las pestañas propias del dispositivo
Referencia de campos
Filtros
Scope
Elige si se acota por cliente o por dispositivo
Clients, Agents
Clients
Clients
Conserva las entradas registradas para dispositivos de los clientes seleccionados
Uno o varios clientes
Vacío (todos)
Agent
Conserva las entradas registradas para los dispositivos seleccionados
Uno o varios dispositivos
Vacío (todos)
Users
Conserva las entradas hechas por los usuarios seleccionados
Uno o varios usuarios
Vacío (todos)
Botones Actions
Selección rápida de las acciones más comunes
Login, Failed Login, Add, Modify, Delete, Agent Install
Ninguno seleccionado
Action (More Actions)
La lista completa de acciones, combinada con los botones
Login, Failed Login, Add Object, Modify Object, Delete Object, Agent Install, Bulk Action, Execute Command, Execute Script, Remote Session, URL Action
Vacío (todas)
Object
Conserva las entradas sobre los tipos de objeto seleccionados
Agent, Automated Task, Bulk Actions, Core Settings, Check, Client, Policy, Site, Script, User, Patch Policy, Alert Template, Role, URL Action, Custom Field
Vacío (todos)
Time
Período cubierto
Today, Last 3 Days, Last Week, Last 2 Weeks, Last Month, Last 3 Months, Last 6 Months, Last Year, All Time
Last Week
En la pestaña Audits de un dispositivo no se muestran Scope ni Object: el dispositivo es el ámbito.
Columnas
Time
Cuándo ocurrió la acción, en su formato de fecha
Username
Quién la realizó. En un inicio de sesión fallido, el nombre de usuario que se escribió
Action
El tipo de acción
Object
El tipo de objeto implicado
Message
Una frase que describe la acción, con el nombre del objeto o del dispositivo
Client IP
La dirección de la que vino la solicitud, cuando se registró
Client, Site
El cliente y el sitio a los que pertenece el dispositivo, en las entradas registradas para un dispositivo
Páginas relacionadas
Informes: generar documentos a partir de los datos de SONAR
Retención de datos: cuánto tiempo se conservan las entradas de auditoría
Roles y permisos: cómo conceder View Audit Logs
Detalles del dispositivo: el panel del dispositivo y sus pestañas
Políticas de acceso: el registro de auditoría propio de la política
Atualizado
Isto foi útil?