Docs Home

/ /

Mensajes de auditoría

Docs Home

/ /

Auditoría

Mensajes de auditoría

Mensajes de auditoría

Mensajes de auditoría del esquema OCSF

En el Esquema OCSF, los mensajes de registro grabados tienen esta sintaxis:

{
   "activity_id" : <int>,
   "category_uid" : <int>,
   "class_uid" : <int>,
   "time" : <int>,
   "severity_id" : <int>,
   "type_uid" : <int>,
   "metadata" : <document>
   "actor" : {
      "user" : {
         "type_id" : <int>,
         "name" : <string>,
         "groups" : <array of documents>
      }
   },
   "src_endpoint" : {
      "ip": <string>,   // IP address for origin client computer
      "port": <int>,    // Port for origin client computer
      "intermediate_ips": [ {
         // IP address and port for mongos or load balancer
         "ip": <string>,
         "port": <int>
      }, {
         // IP address and port for mongos or load balancer
         "ip": <string>,
         "port": <int>
      } ]
   },
   "dst_endpoint" : {
      // IP address and port for local MongoDB server
      "ip": <string>,
      "port": <int>
   }
}

La siguiente tabla describe los campos del mensaje de registro.

Campo	Tipo	Descripción
`activity_id`	entero	Tipo de actividad. Ver Mapeo de tipos OCSF.
`category_uid`	entero	Categoría de evento de auditoría. Consulte Asignación de categorías de OCSF.
`class_uid`	entero	Clase de evento de auditoría. Consulte Asignación de clases de OCSF.
`time`	entero	Número de milisegundos después de la época Unix en que ocurrió el evento.
`severity_id`	entero	Gravedad del evento auditado.
`type_uid`	entero	Combinación de la clase, actividad y categoría del evento auditado. Consulte Asignación de tipos de OCSF.
`metadata`	Documento	Metadatos sobre el evento, como la versión del producto y del esquema.
`actor`	Documento	Información sobre el usuario que realizó la acción.
`src_endpoint`	Documento	A partir de MongoDB 8.1, si una aplicación cliente se conecta a una instancia `mongod` o `mongos` mediante un balanceador de carga, las direcciones IP y los puertos del equipo cliente de origen y del balanceador de carga se incluyen en el registro de auditoría. Puede usar el registro para asociar un evento de auditoría con el equipo cliente de origen. `src_endpoint` Almacena información sobre direcciones IP y puertos. Cada elemento de la matriz `intermediate_ips` es un documento con la dirección IP y el puerto de un balanceador de carga o `mongos` por el que pasó la solicitud del cliente de origen. Si la solicitud pasa a través de un balanceador de carga: `src_endpoint` almacena la dirección IP del equipo cliente de origen y el puerto leídos desde el encabezado del protocolo proxy. `src_endpoint.intermediate_ips` almacena la dirección IP del balanceador de carga y el puerto. Si el evento de auditoría ocurre en un fragmento: `src_endpoint` Almacena la dirección IP y el puerto del equipo cliente de origen. La dirección y el puerto se leen del encabezado del protocolo proxy o, si el equipo cliente de origen se conecta a `mongod` o `mongos`, se leen de la conexión del equipo cliente. `src_endpoint.intermediate_ips` Almacena la dirección IP y el puerto `mongos` si una solicitud es reenviada por Mongos. Si se utiliza un balanceador de carga, hay un `src_endpoint.intermediate_ips` adicional que almacena la dirección IP y el puerto del balanceador de carga. Cambiado en la versión 8.1.
`dst_endpoint`	Documento	Dirección IP y puerto del servidor MongoDB local. Cambiado en la versión 8.1.

Nota

Los mensajes del registro pueden contener campos adicionales dependiendo del evento registrado.

Mapeo de categorías de OCSF

Esta tabla describe los valores category_uid:

`category_uid`	Categoría
`1`	Actividad del sistema
`2`	Recomendaciones
`3`	IAM
`4`	Actividad de red
`5`	Descubrimiento
`6`	Actividad de la aplicación

Mapeo de clases de OCSF

Para obtener una lista completa de OCSF class_uids y cómo se asignan a diferentes clases, consulte la Documentación de OCSF.

Mapeo de tipos de OCSF

El campo type_uid representa una combinación de la clase, la actividad y la categoría del evento auditado. El UUID resultante indica el tipo de actividad ocurrida.

Específicamente, type_uid es ( class_uid * 100 ) + (activity_id), y category_id es el lugar de los millares en un class_id.

Esta tabla describe cómo las acciones auditadas se asignan a type_uid:

Tipo de acción	`type_uid`	Categoría	Clase	Actividad
`addShard`	`500101`	Configuración	Estado de configuración del dispositivo	Log
`applicationMessage`	`100799`	Sistema	Actividad del proceso	Otros
`auditConfigure`	`500201` or `500203`	Descubrimiento	Estado de configuración del dispositivo	`1` es Crear `3` es actualización
`authzCheck`	`600301` - `600304`	Aplicación	Actividad API	`1` es Crear `2` se lee `3` es actualización `4` es Borrar
`authenticate`	`300201`	IAM	Autenticación	Inicio de sesión
`clientMetadata`	`400101`	Red	Actividad de red	Abierto
`createCollection`	`300401`	IAM	Gestión de entidades	Crear
`createDatabase`	`300401`	IAM	Gestión de entidades	Crear
`createIndex`	`300401`	IAM	Gestión de entidades	Crear
`createRole`	`300101`	IAM	Cambio de cuenta	Crear
`createUser`	`300101`	IAM	Cambio de cuenta	Crear
`directAuthMutation`	`300100`	IAM	Cambio de cuenta	Desconocido
`dropAllRolesFromDatabase`	`300106`	IAM	Cambio de cuenta	Borrar
`dropAllUsersFromDatabase`	`300106`	IAM	Cambio de cuenta	Borrar
`dropCollection`	`300404`	IAM	Gestión de entidades	Borrar
`dropDatabase`	`300404`	IAM	Gestión de entidades	Borrar
`dropIndex`	`300404`	IAM	Gestión de entidades	Borrar
`dropPrivilegesToRole`	`300107`	IAM	Cambio de cuenta	Adjuntar política
`dropRole`	`300106`	IAM	Cambio de cuenta	Borrar
`dropUser`	`300106`	IAM	Cambio de cuenta	Borrar
`enableSharding`	`500201`	Configuración	Estado de configuración del dispositivo	Log
`getClusterParameter`	`600302`	Aplicación	Actividad API	Lea
`grantRolesToRole`	`300107`	IAM	Cambio de cuenta	Adjuntar política
`grantRolesToUser`	`300107`	IAM	Cambio de cuenta	Adjuntar política
`importCollection`	`300401`	IAM	Gestión de entidades	Crear
`logout`	`300202`	IAM	Autenticación	Cierre de sesión
`refineCollectionShardKey`	`500201`	Configuración	Estado de configuración del dispositivo	Log
`removeShard`	`500201`	Configuración	Estado de configuración del dispositivo	Log
`renameCollection`	`300403`	IAM	Gestión de entidades	Update
`replSetReconfig`	`500201`	Configuración	Estado de configuración del dispositivo	Log
`revokePrivilegesFromRole`	`300108`	IAM	Cambio de cuenta	Política de desvinculación
`revokeRolesFromRole`	`300108`	IAM	Cambio de cuenta	Política de desvinculación
`revokeRolesFromUser`	`300108`	IAM	Cambio de cuenta	Política de desvinculación
`rotateLog`	`100799`	Sistema	Proceso	Otros
`setClusterParameter`	`500201`	Configuración	Estado de configuración del dispositivo	Log
`shardCollection`	`500201`	Configuración	Estado de configuración del dispositivo	Log
`shutdown`	`100702`	Sistema	Proceso	Terminar
`startup`	`100701`	Sistema	Proceso	Launch
`updateCachedClusterServerParameter`	`500201`	Configuración	Estado de configuración del dispositivo	Log
`updateRole`	`300199`	IAM	Cambio de cuenta	Otros
`updateUser`	`300199`	IAM	Cambio de cuenta	Otros

Ejemplos

Los siguientes ejemplos muestran mensajes de registro de esquemas de OCSF para diferentes tipos de acción.

Acción de autenticación

{
   "activity_id" : 1,
   "category_uid" : 3,
   "class_uid" : 3002,
   "time" : 1710715316123,
   "severity_id" : 1,
   "type_uid" : 300201,
   "metadata" : {
      "correlation_uid" : "20ec4769-984d-445c-aea7-da0429da9122",
      "product" : "MongoDB Server",
      "version" : "1.0.0"
   },
   "actor" : {
      "user" : {
         "type_id" : 1,
         "name" : "admin.admin",
         "groups" : [ { "name" : "admin.root" } ]
      }
   },
   "src_endpoint" : { "ip" : "127.0.0.1", "port" : 56692 },
   "dst_endpoint" : { "ip" : "127.0.0.1", "port" : 20040 },
   "user" : { "type_id" : 1, "name" : "admin.admin" },
   "auth_protocol" : "SCRAM-SHA-256",
   "unmapped" : { "atype" : "authenticate" }
}

Acción de AuthCheck

{
   "activity_id" : 0,
   "category_uid" : 6,
   "class_uid" : 6003,
   "time" : 1710715315002,
   "severity_id" : 1,
   "type_uid" : 600300,
   "metadata" : {
      "correlation_uid" : "af4510fb-0a9f-49aa-b988-06259a7a861d",
      "product" : "MongoDB Server",
      "version" : "1.0.0"
   },
   "actor" : {},
   "src_endpoint" : { "ip" : "127.0.0.1", "port" : 45836 },
   "dst_endpoint" : { "ip" : "127.0.0.1", "port" : 20040 },
   "api" : {
      "operation" : "getParameter",
      "request" : { "uid" : "admin" },
      "response" : { "code" : 13, "error" : "Unauthorized" }
   }
}

Volver

Esquema mongo

Referencia