감사 로그는 KapsuleHost 계정 내에서 수행된 모든 작업의 영구적이고 필터링 가능한 기록으로, 누가 작업했는지, 무엇을 건드렸는지, 언제 했는지, 그리고 어느 IP 주소에서 했는지를 보여줍니다.
뭔가 변경되었는데 아무도 변경한 것을 기억하지 못할 때 가장 먼저 확인해야 할 곳입니다. DNS 레코드가 옮겨졌거나, 사서함이 사라지거나, 구독이 취소된 경우입니다. 감사인이나 보험사가 인프라에 접근할 수 있는 사람을 증명해 달라고 요청할 때 내보내는 기록이기도 합니다.
감사 로그 열기
- 설정으로 이동합니다.
- 설정 레일의 작업 영역 그룹에서 계정을 클릭합니다.
- "계정 활동의 전체 기록"으로 설명된 감사 로그 카드를 찾습니다.
- 로그 보기를 클릭합니다.
직접 이동하려면 로그가 /settings/audit-log에 있습니다.
각 열의 의미
| 열 | 포함하는 내용 |
|---|---|
| 언제 | 작업이 발생한 이후 경과 시간으로 "방금", 분, 시간 또는 일로 표시됩니다. 마우스를 올려놓으면 자신의 지역 표준시로 정확한 날짜와 시간을 볼 수 있습니다. |
| 작업자 | 작업을 수행한 사람의 이름 또는 이메일 주소입니다. 예약된 갱신 요금과 같이 플랫폼 자체에서 수행한 자동화된 작업은 System에 속합니다. |
| 작업 | 예를 들어 site.created 또는 domain.dns.updated와 같이 색상이 지정된 칩의 짧은 머신 가독성 코드입니다. |
| 리소스 | 영향을 받은 사항의 유형과 내부 식별자의 시작 부분입니다. |
| IP | 요청이 온 IP 주소 또는 기록된 주소가 없는 경우 대시입니다. |
언제 열은 사건의 순서를 알려주지만, 작업자와 IP 열은 사건 처리 중에 중요합니다. 팀원 중 한 명에게 속하지만 그들 중 누구도 일해본 적 없는 국가의 IP 주소에서 오는 작업은 로그인이 탈취되었다는 가장 명확한 신호입니다.
작업 이름 및 포함 범위
작업 코드는 속한 제품 부분별로 그룹화되며, 칩은 그룹별로 색상이 지정됩니다. 가장 자주 보게 될 패밀리는 다음과 같습니다:
site.*웹사이트에 대해 수행된 모든 작업의 경우: 생성, 삭제, 설정 변경, PHP 버전 변경.mailbox.*사서함 생성, 삭제, 할당량 및 암호 변경의 경우.domain.*등록, 이전, 갱신 및 네임서버 변경의 경우.dns.*개별 DNS 레코드 변경의 경우.email.*메일 플랫폼의 변경 사항의 경우.subscription.*및billing.*플랜 변경, 취소 및 결제 이벤트의 경우.api_key.*API 키가 생성되고 취소되는 경우.auth.*및account.*로그인 보안 이벤트, 암호 재설정 요청 및 이메일 변경의 경우.
일부 작업 코드는 기능 뒤에 있던 시스템 이후 몇 년 전에 명명되었습니다. 로그는 표시하기 전에 이를 중립적인 이름으로 다시 쓰므로 화면에서 읽는 것은 저장된 값이 더 오래된 경우에도 현재 제품 어휘입니다.
로그 필터링
테이블 위에 두 개의 필터가 있습니다.
작업별 필터는 자유 텍스트 상자입니다. 작업 코드와 일치하므로 domain을 입력하면 도메인 이벤트로 보기가 좁혀지고 deleted을 입력하면 모든 제품 영역의 삭제를 찾습니다. 이것이 "이것이 언제 삭제되었고 누가 했는가"를 답하는 가장 빠른 방법입니다.
모든 유형은 영향을 받은 리소스의 종류별로 좁히는 드롭다운입니다. 사용 가능한 유형은 site, mailbox, domain, subscription, dns_record, 및 api_key입니다.
두 필터는 결합됩니다. domain 리소스 유형을 선택하고 작업 상자에 delete을 입력하면 도메인 삭제만 표시됩니다.
테이블은 한 번에 한 페이지를 로드합니다. 맨 아래에 있는 더 로드를 클릭하여 다음 배치를 가져옵니다. 필터는 서버에서 적용되므로 필터링된 보기는 화면에 이미 있는 행만이 아닌 전체 기록을 페이징합니다.
준수를 위해 내보내기
오른쪽 상단의 CSV 내보내기를 클릭합니다. 다운로드에는 현재 화면에 로드된 행이 포함되며, Timestamp, Actor, Action, Resource Type, Resource 및 IP 열이 있습니다. 타임스탬프는 테이블이 표시하는 상대적인 "3d ago"가 아닌 전체 ISO 날짜 및 시간입니다.
내보내기는 로드된 내용을 가져오고 전체 기록을 가져오지 않습니다. 장기간이 필요한 경우, 충분히 거슬러 페이징할 때까지 더 로드를 클릭한 다음 내보냅니다. 먼저 필터를 적용하여 훨씬 더 작은 집합을 페이징하도록 합니다.
CSV는 모든 스프레드시트 애플리케이션에서 깔끔하게 열립니다. 연간 액세스 검토의 경우, api_key 리소스 유형을 팀원 목록의 스크린샷과 함께 내보내는 것이 일반적으로 감사인이 원하는 전부입니다.
사건 중 로그 사용
누군이 권한 없이 계정에 접근했다고 생각되면 이 순서대로 로그를 진행합니다:
- 처음에는 아무것도 필터링하지 않습니다. 모든 제품 영역에서 최근 하루를 인식하지 못한 작업으로 스캔합니다.
- 당신이 하지 않은 작업에 첨부된 서로 다른 IP 주소를 모두 기록합니다.
- 작업자를 확인합니다. 작업이 실제 팀원에게 속하면 계정 전체가 아닌 그들의 로그인이 문제입니다.
api_key.created를 확인합니다. API 키 생성은 침입자가 암호를 변경한 후 액세스를 유지하는 일반적인 방법입니다. 왜냐하면 키는 암호 재설정과 세션 로그아웃에서 살아남기 때문입니다.account.email.change_initiated를 확인합니다. 시도된 이메일 변경은 계정 탈취 시도의 강한 신호입니다.
그 다음 조치를 취합니다: 세션 및 키를 취소하고, 암호를 변경하고, 2단계 인증을 활성화합니다. 계정 보안에는 전체 시퀀스가 있고 사이트가 해킹된 경우 수행할 작업에는 사이트 측이 포함됩니다.
감사 로그가 포함하지 않는 것
감사 로그는 KapsuleHost를 통해 수행된 작업을 기록합니다: 패널, API 및 자동화된 작업. 웹 서버 로그가 아니며 애플리케이션 로그가 아닙니다.
포함하지 않는 것:
- 웹사이트에 대한 요청입니다. 사이트의 액세스 및 오류 로그에 있습니다.
- WordPress 사용자가 게시물을 편집하는 등 애플리케이션 내에서 수행된 작업입니다.
- SSH 또는 SFTP를 통해 파일 시스템에 직접 수행된 작업입니다.
- 전송되거나 수신된 이메일입니다. 메일 흐름은 별도로 기록됩니다.
계정 타협이 아닌 사이트 타협을 조사하고 있다면, 감사 로그는 공격자가 KapsuleHost 로그인을 통해 왔는지 알려주고, 사이트의 오류 및 액세스 로그는 애플리케이션을 통해 왔는지 알려줍니다. 일반적으로 둘 다 원합니다.
문제 해결
로그가 비어있습니다. 아직 활동이 없는 새 계정은 "감사 로그 항목 없음"을 표시합니다. 뭔가를 생성하거나 변경한 후 새로 고침합니다.
내가 분명히 한 작업이 누락되었습니다. 감사 항목은 작업의 부작용으로 기록되며 이를 차단하도록 허용되지 않으므로 변경 자체가 성공하는 동안 항목이 가끔 손실될 수 있습니다. 로그를 발생한 일에 대한 강한 증거로 취급하되, 다른 일은 없었다는 증거로 취급하지 마십시오.
IP 열에 대시가 표시됩니다. 해당 요청에 대해 클라이언트 주소가 기록되지 않았으며, 이는 자동화된 갱신과 같이 플랫폼 자체에서 수행한 작업의 경우 정상입니다.
로그가 표시하는 것보다 오래된 항목이 필요합니다. 더 로드로 페이징을 계속합니다. 끝에 도달했는데도 여전히 이전 기록이 필요한 경우, 지원 티켓을 열고 설정에서 계정으로부터 지원 키를 인용합니다.