Dziennik audytu nie pokazuje żadnych zdarzeń
Dziennik audytu VaultPAM rejestruje aktywność istotną dla bezpieczeństwa w obrębie sesji, poświadczeń i działań administracyjnych. Jeśli dziennik wydaje się pusty lub brakuje w nim oczekiwanych zdarzeń, przyczyną jest niemal zawsze problem z filtrem lub uprawnieniami w interfejsie użytkownika — a nie luka w rejestrowaniu zdarzeń. Przed eskalacją przejdź przez poniższe przyczyny.
Objawy
- Strona Audyt nie pokazuje żadnych zdarzeń lub wyświetla komunikat „Nie znaleziono wyników”.
- Widoczne są tylko niektóre zdarzenia, ale brakuje oczekiwanych zdarzeń sesji lub zdarzeń administracyjnych.
- Dziennik pokazuje zdarzenia z niektórych okresów, ale nie z innych.
- Potok SIEM lub eksportu logów pokazuje mniej zdarzeń niż oczekiwano.
Przyczyny
1. Nieprawidłowy filtr zakresu czasu
Widok dziennika audytu domyślnie obejmuje określone okno czasowe (na przykład ostatnie 24 godziny). Jeśli zdarzenia, których szukasz, wystąpiły poza bieżącym oknem filtra, nie pojawią się one w widoku.
Sprawdź: Otwórz Audyt → Zdarzenia i sprawdź filtr Zakres czasu. Upewnij się, że obejmuje on okres, w którym zdarzenia powinny były wystąpić.
Rozwiązanie: Rozszerz filtr zakresu czasu, aby obejmował interesujący Cię okres. Użyj opcji Zakres niestandardowy, jeśli predefiniowane okna nie sięgają wystarczająco daleko wstecz.
2. Użytkownik nie posiada uprawnienia do przeglądania dziennika audytu
Dostęp do dziennika audytu jest uprawnieniem odrębnym od ogólnego dostępu administracyjnego. Użytkownik z rolą administratora może mimo to nie posiadać uprawnienia Przeglądanie dziennika audytu, jeśli nie zostało ono wyraźnie przyznane.
Sprawdź: Otwórz Profil → Mój dostęp i potwierdź, że Twoja rola obejmuje uprawnienie Przeglądanie dziennika audytu. Jeśli w ogóle nie widzisz menu Audyt, oznacza to, że nie posiadasz tego uprawnienia.
Rozwiązanie: Poproś administratora VaultPAM o przyznanie Twojej roli uprawnienia Przeglądanie dziennika audytu w Organizacja → Dostęp → Role → Edytuj rolę. Zmiana uprawnień zaczyna obowiązywać natychmiast.
3. Zdarzenia filtrowane według typu
Dziennik audytu zawiera filtr kategorii zdarzeń (na przykład Sesja, Poświadczenie, Administracja, Uwierzytelnianie). Jeśli jedna lub więcej kategorii zostanie odznaczona, ich zdarzenia nie pojawią się w bieżącym widoku.
Sprawdź: Otwórz Audyt → Zdarzenia i sprawdź filtr Typ zdarzenia. Upewnij się, że zaznaczone są wszystkie istotne kategorie (lub że filtr jest ustawiony na Wszystkie).
Rozwiązanie: Wybierz Wszystkie w filtrze typów zdarzeń lub ręcznie włącz potrzebne kategorie. Filtr nie wpływa na to, co jest rejestrowane — tylko na to, co jest wyświetlane w bieżącym widoku.
4. Opóźnienie przekazywania do SIEM
Jeśli Twoja organizacja przekazuje zdarzenia audytu do systemu SIEM (takiego jak Splunk, Elastic lub kolektor syslog), istnieje wbudowane opóźnienie propagacji między momentem zarejestrowania zdarzenia w VaultPAM a jego pojawieniem się w SIEM. W okresach dużej liczby zdarzeń lub przerw w łączności opóźnienie to może wydłużyć się z sekund do kilku minut.
Sprawdź: Porównaj zdarzenie widoczne w dzienniku audytu w interfejsie VaultPAM z tym, co pokazuje Twój SIEM dla tego samego okna czasowego. Jeśli interfejs VaultPAM pokazuje zdarzenie, a SIEM nie, opóźnienie leży w potoku przekazywania, a nie w samym rekordzie audytu VaultPAM.
Rozwiązanie: Poczekaj na upłynięcie opóźnienia przekazywania i odśwież zapytanie w SIEM. Jeśli opóźnienie przekracza oczekiwany poziom SLA, poproś operatora o sprawdzenie statusu konektora SIEM w ustawieniach integracji VaultPAM oraz o przejrzenie łączności między VaultPAM a punktem końcowym SIEM.
Kroki rozwiązania
- Otwórz Audyt → Zdarzenia i potwierdź, że filtr Zakres czasu obejmuje okres, w którym spodziewasz się znaleźć zdarzenia. W razie potrzeby rozszerz go do opcji Zakres niestandardowy.
- Potwierdź, że filtr Typ zdarzenia obejmuje kategorię zdarzenia, którego szukasz. Wybierz Wszystkie, aby usunąć filtrowanie według typu.
- Sprawdź, czy Twoja rola obejmuje uprawnienie Przeglądanie dziennika audytu w Profil → Mój dostęp. Jeśli nie, skontaktuj się z administratorem VaultPAM.
- Jeśli zdarzenia są widoczne w interfejsie VaultPAM, ale ich brakuje w Twoim SIEM, poczekaj na upłynięcie opóźnienia przekazywania i odśwież. Jeśli opóźnienie się utrzymuje, poproś operatora o sprawdzenie kondycji integracji SIEM.
- Po dostosowaniu filtrów odśwież stronę dziennika audytu i sprawdź ponownie.
Ścieżka eskalacji
Jeśli dziennik audytu nadal nie pokazuje żadnych zdarzeń po zweryfikowaniu filtrów i uprawnień:
- Zanotuj dokładny zakres czasu, typy zdarzeń oraz zaangażowanego użytkownika lub zasób.
- Potwierdź, czy zdarzenia w ogóle pojawiają się w dzienniku interfejsu VaultPAM (przed przekazaniem do SIEM). To jest miarodajny rekord.
- Otwórz zgłoszenie do działu wsparcia, podając: przeszukany zakres czasu, zastosowane typy zdarzeń i filtry, swoją rolę i poziom uprawnień oraz informację, czy dziennik interfejsu VaultPAM również nie pokazuje żadnych zdarzeń.