Página inicial do Docs

/ /

Mensagens de auditoria

Página inicial do Docs

/ /

Auditoria

Mensagens de auditoria

Página inicial do Docs

Gestão

Segurança

Auditoria

Mensagens de auditoria

Mensagens de auditoria do esquema OCSF

No esquemaOCSF , as mensagens de registro registradas têm esta sintaxe:

{
   "activity_id" : <int>,
   "category_uid" : <int>,
   "class_uid" : <int>,
   "time" : <int>,
   "severity_id" : <int>,
   "type_uid" : <int>,
   "metadata" : <document>
   "actor" : {
      "user" : {
         "type_id" : <int>,
         "name" : <string>,
         "groups" : <array of documents>
      }
   },
   "src_endpoint" : {
      "ip": <string>,   // IP address for origin client computer
      "port": <int>,    // Port for origin client computer
      "intermediate_ips": [ {
         // IP address and port for mongos or load balancer
         "ip": <string>,
         "port": <int>
      }, {
         // IP address and port for mongos or load balancer
         "ip": <string>,
         "port": <int>
      } ]
   },
   "dst_endpoint" : {
      // IP address and port for local MongoDB server
      "ip": <string>,
      "port": <int>
   }
}

A tabela a seguir descreve os campos na mensagem de registro.

Campo	Tipo	Descrição
`activity_id`	Inteiro	Tipo de atividade. Consulte Mapeamento de Tipo OCSF .
`category_uid`	Inteiro	Categoria de evento de auditoria. Consulte Mapeamento de categoria OCSF.
`class_uid`	Inteiro	classe de evento de auditoria. Consulte Mapeamento de classe OCSF.
`time`	Inteiro	Número de milissegundos após a época do Unix em que o evento ocorreu.
`severity_id`	Inteiro	Gravidade do evento auditado .
`type_uid`	Inteiro	Combinação de classe, atividade e categoria do evento auditado. Consulte Mapeamento de tipo OCSF.
`metadata`	Documento	Metadados sobre o evento , como versão do produto e esquema.
`actor`	Documento	Informações sobre o usuário que executou a ação.
`src_endpoint`	Documento	A partir do MongoDB 8.1, se um aplicação cliente se conectar a uma instância `mongod` ou `mongos` por meio de um balanceador de carga, os endereços IP e portas do computador cliente de origem e do balanceador de carga serão incluídos no registro de auditar . Você pode usar o registro para combinar um evento de auditar com o computador cliente de origem. `src_endpoint` armazena informações sobre endereços IP e portas. Cada elemento na array `intermediate_ips` é um documento com um endereço IP e uma porta para um balanceador de carga ou `mongos` pelo qual a solicitação do computador cliente de origem passou. Se a solicitação passar por um balanceador de carga: `src_endpoint` armazena o endereço IP e a porta do computador cliente de origem lidos a partir do cabeçalho do protocolo proxy. `src_endpoint.intermediate_ips` armazena o endereço IP e a porta do balanceador de carga. Se o evento de auditar ocorrer em um shard: `src_endpoint` armazena o endereço IP e a porta do computador cliente de origem. O endereço e a porta são lidos a partir do cabeçalho do protocolo proxy ou, se o computador do cliente de origem se conectar a `mongod` ou `mongos`, o endereço e a porta são lidos a partir da conexão do computador cliente . `src_endpoint.intermediate_ips` armazena o endereço IP e a porta `mongos` se uma solicitação for encaminhada por um mongos. Se um balanceador de carga for usado, haverá um `src_endpoint.intermediate_ips` adicional que armazenará o endereço IP e a porta do balanceador de carga. Alterado na versão 8.1.
`dst_endpoint`	Documento	Endereço IP e porta do servidor MongoDB local. Alterado na versão 8.1.

Observação

As mensagens de registro podem conter campos adicionais, dependendo do evento que foi registrado.

Mapeamento de categoria OCSF

Esta tabela descreve os valores category_uid :

`category_uid`	categoria
`1`	Atividade do Sistema
`2`	Descobertas
`3`	iam
`4`	Atividade da rede
`5`	Descoberta
`6`	Atividade do Aplicativo

Mapeamento de classes OCSF

Para obter uma lista completa dos OCSF class_uids e como eles são mapeados para diferentes classes, consulte a documentação do OCSF.

Mapeamento de Tipo OCSF

O campo type_uid representa uma combinação da classe, da atividade e da categoria do evento auditado. O UUID resultante indica o tipo de atividade que ocorreu.

Especificamente, type_uid é ( class_uid * 100 ) + (activity_id), com category_id sendo a casa dos milhares em um class_id.

Esta tabela descreve como as ações auditadas são mapeadas para type_uid:

Tipo de ação	`type_uid`	categoria	classe	Atividade
`addShard`	`500101`	Configuração	Estado da configuração do dispositivo	Log
`applicationMessage`	`100799`	Sistema	Atividade do processo	Outro
`auditConfigure`	`500201` ou `500203`	Descoberta	Estado da configuração do dispositivo	`1` é Criar `3` é Atualizar
`authzCheck`	`600301` - `600304`	Aplicativo	Atividade da API	`1` é Criar `2` é Ler `3` é Atualizar `4` é Excluir
`authenticate`	`300201`	iam	Autenticação	Logon
`clientMetadata`	`400101`	Rede	Atividade da rede	Abrir
`createCollection`	`300401`	iam	Gerenciamento de entidades	criar
`createDatabase`	`300401`	iam	Gerenciamento de entidades	criar
`createIndex`	`300401`	iam	Gerenciamento de entidades	criar
`createRole`	`300101`	iam	Alteração de conta	criar
`createUser`	`300101`	iam	Alteração de conta	criar
`directAuthMutation`	`300100`	iam	Alteração de conta	Desconhecido
`dropAllRolesFromDatabase`	`300106`	iam	Alteração de conta	Excluir
`dropAllUsersFromDatabase`	`300106`	iam	Alteração de conta	Excluir
`dropCollection`	`300404`	iam	Gerenciamento de entidades	Excluir
`dropDatabase`	`300404`	iam	Gerenciamento de entidades	Excluir
`dropIndex`	`300404`	iam	Gerenciamento de entidades	Excluir
`dropPrivilegesToRole`	`300107`	iam	Alteração de conta	Anexar política
`dropRole`	`300106`	iam	Alteração de conta	Excluir
`dropUser`	`300106`	iam	Alteração de conta	Excluir
`enableSharding`	`500201`	Configuração	Estado da configuração do dispositivo	Log
`getClusterParameter`	`600302`	Aplicativo	Atividade da API	Leia
`grantRolesToRole`	`300107`	iam	Alteração de conta	Anexar política
`grantRolesToUser`	`300107`	iam	Alteração de conta	Anexar política
`importCollection`	`300401`	iam	Gerenciamento de entidades	criar
`logout`	`300202`	iam	Autenticação	Logout
`refineCollectionShardKey`	`500201`	Configuração	Estado da configuração do dispositivo	Log
`removeShard`	`500201`	Configuração	Estado da configuração do dispositivo	Log
`renameCollection`	`300403`	iam	Gerenciamento de entidades	Update
`replSetReconfig`	`500201`	Configuração	Estado da configuração do dispositivo	Log
`revokePrivilegesFromRole`	`300108`	iam	Alteração de conta	Política de desanexação
`revokeRolesFromRole`	`300108`	iam	Alteração de conta	Política de desanexação
`revokeRolesFromUser`	`300108`	iam	Alteração de conta	Política de desanexação
`rotateLog`	`100799`	Sistema	Processo	Outro
`setClusterParameter`	`500201`	Configuração	Estado da configuração do dispositivo	Log
`shardCollection`	`500201`	Configuração	Estado da configuração do dispositivo	Log
`shutdown`	`100702`	Sistema	Processo	Encerrar
`startup`	`100701`	Sistema	Processo	Launch
`updateCachedClusterServerParameter`	`500201`	Configuração	Estado da configuração do dispositivo	Log
`updateRole`	`300199`	iam	Alteração de conta	Outro
`updateUser`	`300199`	iam	Alteração de conta	Outro

Exemplos

Os exemplos a seguir mostram mensagens de registro do esquema OCSF para diferentes tipos de ação .

Ação Autenticar

{
   "activity_id" : 1,
   "category_uid" : 3,
   "class_uid" : 3002,
   "time" : 1710715316123,
   "severity_id" : 1,
   "type_uid" : 300201,
   "metadata" : {
      "correlation_uid" : "20ec4769-984d-445c-aea7-da0429da9122",
      "product" : "MongoDB Server",
      "version" : "1.0.0"
   },
   "actor" : {
      "user" : {
         "type_id" : 1,
         "name" : "admin.admin",
         "groups" : [ { "name" : "admin.root" } ]
      }
   },
   "src_endpoint" : { "ip" : "127.0.0.1", "port" : 56692 },
   "dst_endpoint" : { "ip" : "127.0.0.1", "port" : 20040 },
   "user" : { "type_id" : 1, "name" : "admin.admin" },
   "auth_protocol" : "SCRAM-SHA-256",
   "unmapped" : { "atype" : "authenticate" }
}

Ação AuthCheck

{
   "activity_id" : 0,
   "category_uid" : 6,
   "class_uid" : 6003,
   "time" : 1710715315002,
   "severity_id" : 1,
   "type_uid" : 600300,
   "metadata" : {
      "correlation_uid" : "af4510fb-0a9f-49aa-b988-06259a7a861d",
      "product" : "MongoDB Server",
      "version" : "1.0.0"
   },
   "actor" : {},
   "src_endpoint" : { "ip" : "127.0.0.1", "port" : 45836 },
   "dst_endpoint" : { "ip" : "127.0.0.1", "port" : 20040 },
   "api" : {
      "operation" : "getParameter",
      "request" : { "uid" : "admin" },
      "response" : { "code" : 13, "error" : "Unauthorized" }
   }
}

Voltar

mongo schema

Referência