Docs Home

/ /

Mensajes de auditoría

Docs Home

/ /

Auditoría

Mensajes de auditoría

Mensajes de auditoría

Mensajes de auditoría del esquema OCSF

En el OCSF Schema, los mensajes de registro grabados tienen esta sintaxis:

{
   "activity_id" : <int>,
   "category_uid" : <int>,
   "class_uid" : <int>,
   "time" : <int>,
   "severity_id" : <int>,
   "type_uid" : <int>,
   "metadata" : <document>
   "actor" : {
      "user" : {
         "type_id" : <int>,
         "name" : <string>,
         "groups" : <array of documents>
      }
   },
   "src_endpoint" : {
      "ip": <string>,   // IP address for origin client computer
      "port": <int>,    // Port for origin client computer
      "intermediate_ips": [ {
         // IP address and port for mongos or load balancer
         "ip": <string>,
         "port": <int>
      }, {
         // IP address and port for mongos or load balancer
         "ip": <string>,
         "port": <int>
      } ]
   },
   "dst_endpoint" : {
      // IP address and port for local MongoDB server
      "ip": <string>,
      "port": <int>
   }
}

La siguiente tabla describe los campos en el mensaje del registro.

Campo	Tipo	Descripción
`activity_id`	entero	Tipo de actividad. Ver Mapeo de tipos OCSF.
`category_uid`	entero	Categoría de evento de auditoría. Consulta Mapeo de Categorías OCSF.
`class_uid`	entero	Clase de evento de auditoría. Ver Mapeo de clases de OCSF.
`time`	entero	Número de milisegundos después de la época Unix en que ocurrió el evento.
`severity_id`	entero	Gravedad del evento auditado.
`type_uid`	entero	Combinación de la clase, actividad y categoría del evento auditado. Consulte Asignación de tipos de OCSF.
`metadata`	Documento	Metadatos sobre el evento, tales como la versión del producto y del esquema.
`actor`	Documento	Información sobre el usuario que realizó la acción.
`src_endpoint`	Documento	A partir de MongoDB 8.1, si una aplicación cliente se conecta a una instancia `mongod` o `mongos` a través de un balanceador de carga, las direcciones IP y los puertos del computador cliente de origen y del balanceador de carga se incluyen en el registro de auditoría. Puedes utilizar el registro para asociar un evento de auditoría con el ordenador cliente de origen. `src_endpoint` almacena información sobre direcciones IP y puertos. Cada elemento en el arreglo `intermediate_ips` es un documento con una dirección IP y un puerto de balanceador de carga o `mongos` por el que pasó la solicitud del cliente de origen. Si la solicitud pasa por un balanceador de carga: `src_endpoint` almacena la dirección IP de la computadora cliente de origen y el puerto leídos desde el encabezado del protocolo proxy. `src_endpoint.intermediate_ips` almacena la dirección IP del balanceador de carga y el puerto. Si el evento de auditoría se produce en una partición: `src_endpoint` Almacena la dirección IP y el puerto del equipo cliente de origen. La dirección y el puerto se leen del encabezado del protocolo proxy o, si el equipo cliente de origen se conecta a `mongod` o `mongos`, se leen de la conexión del equipo cliente. `src_endpoint.intermediate_ips` Almacena la dirección IP y el puerto `mongos` si una solicitud es reenviada por Mongos. Si se utiliza un balanceador de carga, hay un `src_endpoint.intermediate_ips` adicional que almacena la dirección IP y el puerto del balanceador de carga. Cambiado en la versión 8.1.
`dst_endpoint`	Documento	Dirección IP y puerto del servidor local de MongoDB. Cambiado en la versión 8.1.

Nota

Los mensajes del registro pueden contener campos adicionales dependiendo del evento registrado.

Mapeo de categorías OCSF

Esta tabla describe los valores de category_uid:

`category_uid`	Categoría
`1`	Actividad del sistema
`2`	Recomendaciones
`3`	IAM
`4`	Actividad de red
`5`	Descubrimiento
`6`	Actividad de la aplicación

Mapeo de clases OCSF

Para ver una lista completa de OCSF class_uids y cómo se asignan a diferentes clases, véase la Documentación de OCSF.

Mapeo de tipo OCSF

El campo type_uid representa una combinación de la clase, la actividad y la categoría del evento auditado. El UUID resultante indica el tipo de actividad ocurrida.

Específicamente, type_uid es ( class_uid * 100 ) + (activity_id), siendo category_id el lugar de los miles en un class_id.

Esta tabla describe cómo las acciones auditadas se asignan a type_uid:

Tipo de acción	`type_uid`	Categoría	clase	Actividad
`addShard`	`500101`	Configuración	Estado de configuración del dispositivo	Log
`applicationMessage`	`100799`	Sistema	Actividad del proceso	Otros
`auditConfigure`	`500201` or `500203`	Descubrimiento	Estado de configuración del dispositivo	`1` es Crear `3` es actualización
`authzCheck`	`600301` - `600304`	Aplicación	Actividad API	`1` es Crear `2` es Lectura `3` es actualización `4` es Borrar
`authenticate`	`300201`	IAM	Autenticación	Inicio de sesión
`clientMetadata`	`400101`	Red	Actividad de red	Abierto
`createCollection`	`300401`	IAM	Gestión de Entidades	Crear
`createDatabase`	`300401`	IAM	Gestión de Entidades	Crear
`createIndex`	`300401`	IAM	Gestión de Entidades	Crear
`createRole`	`300101`	IAM	Cambio de cuenta	Crear
`createUser`	`300101`	IAM	Cambio de cuenta	Crear
`directAuthMutation`	`300100`	IAM	Cambio de cuenta	Desconocido
`dropAllRolesFromDatabase`	`300106`	IAM	Cambio de cuenta	Borrar
`dropAllUsersFromDatabase`	`300106`	IAM	Cambio de cuenta	Borrar
`dropCollection`	`300404`	IAM	Gestión de Entidades	Borrar
`dropDatabase`	`300404`	IAM	Gestión de Entidades	Borrar
`dropIndex`	`300404`	IAM	Gestión de Entidades	Borrar
`dropPrivilegesToRole`	`300107`	IAM	Cambio de cuenta	Adjuntar póliza
`dropRole`	`300106`	IAM	Cambio de cuenta	Borrar
`dropUser`	`300106`	IAM	Cambio de cuenta	Borrar
`enableSharding`	`500201`	Configuración	Estado de configuración del dispositivo	Log
`getClusterParameter`	`600302`	Aplicación	Actividad API	Lea
`grantRolesToRole`	`300107`	IAM	Cambio de cuenta	Adjuntar póliza
`grantRolesToUser`	`300107`	IAM	Cambio de cuenta	Adjuntar póliza
`importCollection`	`300401`	IAM	Gestión de Entidades	Crear
`logout`	`300202`	IAM	Autenticación	Cerrar sesión
`refineCollectionShardKey`	`500201`	Configuración	Estado de configuración del dispositivo	Log
`removeShard`	`500201`	Configuración	Estado de configuración del dispositivo	Log
`renameCollection`	`300403`	IAM	Gestión de Entidades	Update
`replSetReconfig`	`500201`	Configuración	Estado de configuración del dispositivo	Log
`revokePrivilegesFromRole`	`300108`	IAM	Cambio de cuenta	Desvincular política
`revokeRolesFromRole`	`300108`	IAM	Cambio de cuenta	Desvincular política
`revokeRolesFromUser`	`300108`	IAM	Cambio de cuenta	Desvincular política
`rotateLog`	`100799`	Sistema	Proceso	Otros
`setClusterParameter`	`500201`	Configuración	Estado de configuración del dispositivo	Log
`shardCollection`	`500201`	Configuración	Estado de configuración del dispositivo	Log
`shutdown`	`100702`	Sistema	Proceso	Terminar
`startup`	`100701`	Sistema	Proceso	Launch
`updateCachedClusterServerParameter`	`500201`	Configuración	Estado de configuración del dispositivo	Log
`updateRole`	`300199`	IAM	Cambio de cuenta	Otros
`updateUser`	`300199`	IAM	Cambio de cuenta	Otros

Ejemplos

Los siguientes ejemplos muestran mensajes de registro de esquemas de OCSF para diferentes tipos de acción.

Acción de autenticación

{
   "activity_id" : 1,
   "category_uid" : 3,
   "class_uid" : 3002,
   "time" : 1710715316123,
   "severity_id" : 1,
   "type_uid" : 300201,
   "metadata" : {
      "correlation_uid" : "20ec4769-984d-445c-aea7-da0429da9122",
      "product" : "MongoDB Server",
      "version" : "1.0.0"
   },
   "actor" : {
      "user" : {
         "type_id" : 1,
         "name" : "admin.admin",
         "groups" : [ { "name" : "admin.root" } ]
      }
   },
   "src_endpoint" : { "ip" : "127.0.0.1", "port" : 56692 },
   "dst_endpoint" : { "ip" : "127.0.0.1", "port" : 20040 },
   "user" : { "type_id" : 1, "name" : "admin.admin" },
   "auth_protocol" : "SCRAM-SHA-256",
   "unmapped" : { "atype" : "authenticate" }
}

Acción de AuthCheck

{
   "activity_id" : 0,
   "category_uid" : 6,
   "class_uid" : 6003,
   "time" : 1710715315002,
   "severity_id" : 1,
   "type_uid" : 600300,
   "metadata" : {
      "correlation_uid" : "af4510fb-0a9f-49aa-b988-06259a7a861d",
      "product" : "MongoDB Server",
      "version" : "1.0.0"
   },
   "actor" : {},
   "src_endpoint" : { "ip" : "127.0.0.1", "port" : 45836 },
   "dst_endpoint" : { "ip" : "127.0.0.1", "port" : 20040 },
   "api" : {
      "operation" : "getParameter",
      "request" : { "uid" : "admin" },
      "response" : { "code" : 13, "error" : "Unauthorized" }
   }
}

Volver

Esquema mongo

Referencia