Chuyển đến nội dung chính
Audit Logs là một dòng thời gian duy nhất ghi lại mọi hành động của người dùng, agent và hệ thống trên tất cả workspace trong tổ chức của bạn. Dùng Audit Logs để trả lời câu hỏi “ai đã làm việc này, khi nào và từ đâu” trong một đợt rà soát bảo mật, một buổi postmortem sự cố hoặc một cuộc điều tra thay đổi.

​
Những gì được và không được ghi lại

  • Được ghi lại: các thay đổi do người và agent thực hiện, chẳng hạn cập nhật kết nối, quyết định phê duyệt, thay đổi thành viên, các lệnh chạy qua CloudThinker cùng kết quả của chúng, và thay đổi cài đặt bảo mật (bật hoặc tắt MFA, kết nối SSO và tên miền đã xác minh).
  • Không được ghi lại: đăng nhập và đăng xuất. Lượt xem trang và dữ liệu nhìn chung cũng không được ghi lại.

​
Điều kiện tiên quyết

  • Vai trò Owner hoặc Admin của tổ chức. Developer và Viewer không thấy trang này. Xem Vai trò.
  • Gói Scale, Scale Plus hoặc Enterprise. Ở các gói khác, trang hiển thị lời nhắc Unlock Audit Logs with the Scale plan và nút Upgrade Plan thay vì dòng thời gian. Xem Gói đăng ký.
Trên các triển khai tự host không bật thanh toán, không có kiểm tra gói: Owner và Admin luôn thấy dòng thời gian. Xem Triển khai.

​
Thuật ngữ chính

Dòng thời gian ở chế độ chỉ đọc. Audit Logs không có thao tác sửa hay xóa, trong ứng dụng hay API của nó, với bất kỳ ai kể cả Owner. Sự kiện chỉ bị xóa qua quy trình dọn dẹp theo thời hạn lưu giữ được mô tả trong Thời hạn lưu giữ.

​
Mở dòng thời gian

1

Vào Audit Logs

Nhấn avatar để mở menu người dùng, rồi chọn Admin settings → Audit Logs.Trạng thái thành công: bốn ô tóm tắt (Total Events, Success, Failures, Agent Actions) xuất hiện phía trên bảng sự kiện, mới nhất ở đầu.
2

Đọc các ô tóm tắt

Các ô đếm số sự kiện khớp với bộ lọc hiện tại. Failures hiển thị Needs attention khi số đếm lớn hơn 0 và All clear khi bằng 0. Agent Actions đếm các sự kiện do agent thực hiện.
Bảng hiển thị 10 sự kiện mỗi trang. Dùng các điều khiển phân trang dưới bảng để xem các sự kiện cũ hơn. Mỗi hàng hiển thị các cột sau:

​
Tìm một sự kiện cụ thể

Mọi bộ lọc đồng thời thu hẹp bảng, các ô tóm tắt và tệp CSV xuất ra. Không có bộ lọc workspace hay outcome. Để rà soát một workspace, hãy đọc cột Workspace. Để liệt kê các sự kiện thất bại, xuất ra CSV và lọc cột outcome. Các bộ lọc kết hợp với nhau, nên Actor Type: Agent cộng với Severity: High chỉ hiển thị hành động của agent có mức độ nghiêm trọng cao.
1

Tìm kiếm

Nhập vào Search. Ô này khớp văn bản trong phần tóm tắt sự kiện, tên tài nguyên và tên tác nhân. Tìm kiếm chạy ngay khi bạn gõ.
2

Lọc theo tác nhân, danh mục hoặc mức độ nghiêm trọng

Chọn giá trị trong Actor Type, Category và Severity. Mỗi bộ lọc nhận nhiều giá trị cùng lúc.
3

Đặt khoảng ngày

Chọn một mốc đặt sẵn (Last 7 days, Last 30 days hoặc Last 90 days), hoặc chọn ngày bắt đầu và ngày kết thúc. Ngày kết thúc bao gồm cả ngày, đến 23:59:59.Trạng thái thành công: các ô tóm tắt và bảng cập nhật để chỉ hiển thị các sự kiện khớp.
Các danh mục có sẵn: Agent, Agent Policy, Alert, Approval, Artifact, Assessment, Billing, Chat, Command, Connection, Cyber, Incident, Keepers, Knowledge, Notification, Optimize, Plan, Recommendation, Resource, Review, Security, Skill, Task, Topology, User Mgmt, Webhook và Workspace.

​
Các tra cứu thường gặp

​
Kiểm tra một sự kiện

Nhấn vào bất kỳ hàng nào để mở bảng chi tiết của hàng đó. Bảng hiển thị: Các trường không có giá trị sẽ bị ẩn, nên sự kiện hệ thống thường không hiển thị địa chỉ IP.

​
Xuất ra CSV

1

Lọc trước

Thu hẹp dòng thời gian theo những gì người rà soát cần, ví dụ Category: Connection trong Last 30 days. Tệp xuất dùng chính xác các bộ lọc trên màn hình. CSV không có cột workspace, nên hãy ghi lại workspace từ bảng nếu người rà soát cần.
2

Nhấn Export CSV

Nhấn Export CSV cạnh các bộ lọc. Nút hiển thị Exporting… trong khi tệp đang được tạo.Trạng thái thành công: trình duyệt tải xuống audit-trail.csv và thông báo Audit trail exported successfully xuất hiện. Mọi tệp xuất đều có cùng tên, vì vậy hãy đổi tên từng tệp theo khoảng ngày ngay sau khi tải xuống.
Tệp có một hàng cho mỗi sự kiện với các cột: timestamp, actor_type, actor_name, agent_name, action_category, action, severity, resource_type, resource_id, resource_name, summary, ip_address, changes, outcome, metadata. Các cột changes và metadata chứa JSON. timestamp theo ISO 8601 kèm độ lệch múi giờ.
Mỗi lần xuất chứa tối đa 10.000 sự kiện khớp gần nhất. Với khoảng thời gian dài hơn, hãy xuất theo các khoảng ngày nhỏ hơn để không bị cắt mất dữ liệu.

​
Thời hạn lưu giữ

Sự kiện được lưu giữ trong 90 ngày, sau đó tự động bị xóa. Thời hạn này giống nhau trên mọi gói. Audit Logs không có luồng tích hợp sẵn đến SIEM, vì vậy để có bản ghi dài hơn, hãy xuất ra CSV theo lịch định kỳ (hằng tháng là phù hợp) và lưu tệp trong hệ thống của riêng bạn. Trên các triển khai tự host, thời hạn lưu giữ là cài đặt Audit Trail Retention Days, mặc định là 90. Quản trị viên của bản cài đặt thay đổi giá trị này từ menu người dùng trong Instance configuration. Xem Triển khai.

​
Khắc phục sự cố

Nguyên nhân: vai trò tổ chức của bạn là Developer hoặc Viewer. Cách sửa: đề nghị Owner của tổ chức cấp cho bạn vai trò Admin. Xem Vai trò.
Nguyên nhân: tổ chức của bạn đang dùng gói không có Audit Logs. Cách sửa: nhấn Upgrade Plan và chuyển sang Scale, Scale Plus hoặc Enterprise. Xem Gói đăng ký.
Kiểm tra: xóa mọi bộ lọc và khoảng ngày, rồi tìm kiếm lại. Tìm kiếm chỉ khớp phần tóm tắt, tên tài nguyên và tên tác nhân, không khớp tên sự kiện hay workspace. Kiểm tra: sự kiện có thể đã cũ hơn 90 ngày và đã bị xóa.
Nguyên nhân: mỗi lần xuất dừng lại ở 10.000 sự kiện khớp gần nhất. Cách sửa: chia tệp xuất thành các khoảng ngày ngắn hơn.
Cách sửa: kiểm tra kết nối mạng và nhấn Export CSV lại. Nếu vẫn thất bại, hãy thu hẹp khoảng ngày để tệp nhỏ hơn.

​
Bước tiếp theo

Vai trò

Kiểm soát ai là Owner hoặc Admin và có thể đọc dòng thời gian kiểm toán.

Single sign-on

Cho người dùng đăng nhập qua nhà cung cấp danh tính của bạn.

Approvals

Quyết định hành động nào của agent cần con người đồng ý trước khi chạy.

Tổng quan bảo mật

Xem cách CloudThinker bảo vệ quyền truy cập, dữ liệu và hành động của agent.