Docs Home

/ /

Mensajes de auditoría

Docs Home

/ /

Auditoría

Mensajes de auditoría

Mensajes de auditoría

Mensajes de auditoría del esquema OCSF

En el Esquema OCSF, los mensajes de registro grabados tienen esta sintaxis:

{
   "activity_id" : <int>,
   "category_uid" : <int>,
   "class_uid" : <int>,
   "time" : <int>,
   "severity_id" : <int>,
   "type_uid" : <int>,
   "metadata" : <document>
   "actor" : {
      "user" : {
         "type_id" : <int>,
         "name" : <string>,
         "groups" : <array of documents>
      }
   }
}

Campo	Tipo	Descripción
`activity_id`	entero	Tipo de actividad. Ver Mapeo de tipos OCSF.
`category_uid`	entero	Categoría de evento de auditoría. Consulte Asignación de categorías de OCSF.
`class_uid`	entero	Clase de evento de auditoría. Consulte Asignación de clases de OCSF.
`time`	entero	Número de milisegundos después de la época Unix en que ocurrió el evento.
`severity_id`	entero	Gravedad del evento auditado.
`type_uid`	entero	Combinación de la clase, actividad y categoría del evento auditado. Consulte Asignación de tipos de OCSF.
`metadata`	Documento	Metadatos sobre el evento, como la versión del producto y del esquema.
`actor`	Documento	Información sobre el usuario que realizó la acción.

Nota

Los mensajes del registro pueden contener campos adicionales dependiendo del evento registrado.

Mapeo de categorías de OCSF

Esta tabla describe los valores category_uid:

`category_uid`	Categoría
`1`	Actividad del sistema
`2`	Recomendaciones
`3`	IAM
`4`	Actividad de red
`5`	Descubrimiento
`6`	Actividad de la aplicación

Mapeo de clases de OCSF

Para obtener una lista completa de OCSF class_uids y cómo se asignan a diferentes clases, consulte la Documentación de OCSF.

Mapeo de tipos de OCSF

El campo type_uid representa una combinación de la clase, la actividad y la categoría del evento auditado. El UUID resultante indica el tipo de actividad ocurrida.

Específicamente, type_uid es ( class_uid * 100 ) + (activity_id), y category_id es el lugar de los millares en un class_id.

Esta tabla describe cómo las acciones auditadas se asignan a type_uid:

Tipo de acción	`type_uid`	Categoría	Clase	Actividad
`addShard`	`500101`	Configuración	Estado de configuración del dispositivo	Log
`applicationMessage`	`100799`	Sistema	Actividad del proceso	Otros
`auditConfigure`	`500201` or `500203`	Descubrimiento	Estado de configuración del dispositivo	`1` es Crear `3` es actualización
`authzCheck`	`600301` - `600304`	Aplicación	Actividad API	`1` es Crear `2` se lee `3` es actualización `4` es Borrar
`authenticate`	`300201`	IAM	Autenticación	Inicio de sesión
`clientMetadata`	`400101`	Red	Actividad de red	Abierto
`createCollection`	`300401`	IAM	Gestión de entidades	Crear
`createDatabase`	`300401`	IAM	Gestión de entidades	Crear
`createIndex`	`300401`	IAM	Gestión de entidades	Crear
`createRole`	`300101`	IAM	Cambio de cuenta	Crear
`createUser`	`300101`	IAM	Cambio de cuenta	Crear
`directAuthMutation`	`300100`	IAM	Cambio de cuenta	Desconocido
`dropAllRolesFromDatabase`	`300106`	IAM	Cambio de cuenta	Borrar
`dropAllUsersFromDatabase`	`300106`	IAM	Cambio de cuenta	Borrar
`dropCollection`	`300404`	IAM	Gestión de entidades	Borrar
`dropDatabase`	`300404`	IAM	Gestión de entidades	Borrar
`dropIndex`	`300404`	IAM	Gestión de entidades	Borrar
`dropPrivilegesToRole`	`300107`	IAM	Cambio de cuenta	Adjuntar política
`dropRole`	`300106`	IAM	Cambio de cuenta	Borrar
`dropUser`	`300106`	IAM	Cambio de cuenta	Borrar
`enableSharding`	`500201`	Configuración	Estado de configuración del dispositivo	Log
`getClusterParameter`	`600302`	Aplicación	Actividad API	Lea
`grantRolesToRole`	`300107`	IAM	Cambio de cuenta	Adjuntar política
`grantRolesToUser`	`300107`	IAM	Cambio de cuenta	Adjuntar política
`importCollection`	`300401`	IAM	Gestión de entidades	Crear
`logout`	`300202`	IAM	Autenticación	Cierre de sesión
`refineCollectionShardKey`	`500201`	Configuración	Estado de configuración del dispositivo	Log
`removeShard`	`500201`	Configuración	Estado de configuración del dispositivo	Log
`renameCollection`	`300403`	IAM	Gestión de entidades	Update
`replSetReconfig`	`500201`	Configuración	Estado de configuración del dispositivo	Log
`revokePrivilegesFromRole`	`300108`	IAM	Cambio de cuenta	Política de desvinculación
`revokeRolesFromRole`	`300108`	IAM	Cambio de cuenta	Política de desvinculación
`revokeRolesFromUser`	`300108`	IAM	Cambio de cuenta	Política de desvinculación
`rotateLog`	`100799`	Sistema	Proceso	Otros
`setClusterParameter`	`500201`	Configuración	Estado de configuración del dispositivo	Log
`shardCollection`	`500201`	Configuración	Estado de configuración del dispositivo	Log
`shutdown`	`100702`	Sistema	Proceso	Terminar
`startup`	`100701`	Sistema	Proceso	Launch
`updateCachedClusterServerParameter`	`500201`	Configuración	Estado de configuración del dispositivo	Log
`updateRole`	`300199`	IAM	Cambio de cuenta	Otros
`updateUser`	`300199`	IAM	Cambio de cuenta	Otros

Ejemplos

Los siguientes ejemplos muestran mensajes de registro de esquemas de OCSF para diferentes tipos de acción.

Acción de autenticación

{
   "activity_id" : 1,
   "category_uid" : 3,
   "class_uid" : 3002,
   "time" : 1710715316123,
   "severity_id" : 1,
   "type_uid" : 300201,
   "metadata" : {
      "correlation_uid" : "20ec4769-984d-445c-aea7-da0429da9122",
      "product" : "MongoDB Server",
      "version" : "1.0.0"
   },
   "actor" : {
      "user" : {
         "type_id" : 1,
         "name" : "admin.admin",
         "groups" : [ { "name" : "admin.root" } ]
      }
   },
   "src_endpoint" : { "ip" : "127.0.0.1", "port" : 56692 },
   "dst_endpoint" : { "ip" : "127.0.0.1", "port" : 20040 },
   "user" : { "type_id" : 1, "name" : "admin.admin" },
   "auth_protocol" : "SCRAM-SHA-256",
   "unmapped" : { "atype" : "authenticate" }
}

Acción de AuthCheck

{
   "activity_id" : 0,
   "category_uid" : 6,
   "class_uid" : 6003,
   "time" : 1710715315002,
   "severity_id" : 1,
   "type_uid" : 600300,
   "metadata" : {
      "correlation_uid" : "af4510fb-0a9f-49aa-b988-06259a7a861d",
      "product" : "MongoDB Server",
      "version" : "1.0.0"
   },
   "actor" : {},
   "src_endpoint" : { "ip" : "127.0.0.1", "port" : 45836 },
   "dst_endpoint" : { "ip" : "127.0.0.1", "port" : 20040 },
   "api" : {
      "operation" : "getParameter",
      "request" : { "uid" : "admin" },
      "response" : { "code" : 13, "error" : "Unauthorized" }
   }
}

Volver

Esquema mongo

Referencia