Jurnalul de audit nu afișează niciun eveniment
Jurnalul de audit VaultPAM înregistrează activitatea relevantă din punct de vedere al securității pe sesiuni, acreditări și acțiuni administrative. Dacă jurnalul apare gol sau lipsesc evenimente așteptate, cauza este aproape întotdeauna o problemă de filtru sau permisiuni în interfața de utilizator — nu o lacună în capturarea evenimentelor. Verificați cauzele enumerate mai jos înainte de a solicita escaladarea.
Simptome
- Pagina Audit nu afișează niciun eveniment sau afișează un mesaj "Nu au fost găsite rezultate".
- Sunt vizibile doar unele evenimente, dar lipsesc evenimentele așteptate de sesiune sau administrative.
- Jurnalul afișează evenimente din anumite perioade, dar nu din altele.
- O conductă SIEM sau de export a jurnalelor arată mai puține evenimente decât se aștepta.
Cauze
1. Filtru de interval de timp incorect
Vizualizarea jurnalului de audit implicit la o fereastră de timp specifică (de exemplu, ultimele 24 de ore). Dacă evenimentele pe care le căutați au avut loc în afara ferestrei de filtru actuale, nu vor apărea.
Verificare: Deschideți Audit → Events și căutați filtrul Time range. Confirmați că acesta acoperă perioada când ar trebui să fi avut loc evenimentele.
Remediere: Extindeți filtrul de interval de timp pentru a acoperi perioada de interes. Utilizați Custom range dacă ferestrele presetate nu se întind suficient în trecut.
2. Utilizatorul nu are permisiunea de vizualizare a jurnalului de audit
Accesul la jurnalul de audit este o permisiune separată de accesul general ca administrator. Un utilizator cu rol de administrator poate totuși să nu aibă permisiunea View audit log dacă nu i-a fost acordată în mod explicit.
Verificare: Deschideți Profile → My Access și confirmați că rolul dvs. include View audit log. Dacă nu puteți vedea meniul Audit deloc, nu dispuneți de această permisiune.
Remediere: Solicitați unui administrator VaultPAM să acorde rolului dvs. permisiunea View audit log prin Organization → Access → Roles → Edit role. Modificarea permisiunii devine efectivă imediat.
3. Evenimente filtrate după tip
Jurnalul de audit include un filtru pentru categoria de eveniment (de exemplu, Session, Credential, Admin, Authentication). Dacă una sau mai multe categorii sunt deselectate, evenimentele acestora nu vor apărea în vizualizarea curentă.
Verificare: Deschideți Audit → Events și căutați filtrul Event type. Confirmați că toate categoriile relevante sunt selectate (sau că filtrul este setat la All).
Remediere: Selectați All în filtrul de tip eveniment sau activați manual categoriile de care aveți nevoie. Filtrul nu afectează ceea ce este înregistrat — doar ceea ce se afișează în vizualizarea curentă.
4. Întârziere în transmiterea către SIEM
Dacă organizația dvs. transmite evenimente de audit către un SIEM (cum ar fi Splunk, Elastic sau un colector syslog), există o întârziere de propagare inerentă între momentul în care un eveniment este înregistrat în VaultPAM și momentul în care apare în SIEM. În perioadele de volum mare de evenimente sau întrerupere de conectivitate, această întârziere poate varia de la câteva secunde la mai multe minute.
Verificare: Comparați evenimentul vizibil în jurnalul de audit al interfeței de utilizator VaultPAM cu ceea ce arată SIEM-ul dvs. pentru aceeași fereastră de timp. Dacă interfața de utilizator VaultPAM arată evenimentul, dar SIEM-ul nu, întârzierea este în conducta de transmitere, nu în înregistrarea de audit VaultPAM în sine.
Remediere: Așteptați ca întârzierea de transmitere să treacă și actualizați interogarea SIEM. Dacă întârzierea depășește SLA-ul așteptat, solicitați unui operator să verifice starea conectatorului SIEM în setările de integrare VaultPAM și să revizuiască conectivitatea dintre VaultPAM și punctul final SIEM.
Pași de rezolvare
- Deschideți Audit → Events și confirmați că filtrul Time range acoperă perioada în care vă așteptați să găsiți evenimente. Extindeți-l la Custom range dacă este necesar.
- Confirmați că filtrul Event type include categoria de eveniment pe care o căutați. Selectați All pentru a elimina filtrarea după tip.
- Verificați dacă rolul dvs. include permisiunea View audit log prin Profile → My Access. Dacă nu, contactați un administrator VaultPAM.
- Dacă evenimentele sunt vizibile în interfața de utilizator VaultPAM, dar lipsesc din SIEM, așteptați întârzierea de transmitere și actualizați. Dacă întârzierea este persistentă, solicitați unui operator să verifice starea integrării SIEM.
- După ajustarea filtrelor, actualizați pagina jurnalului de audit și verificați din nou.
Cale de escaladare
Dacă jurnalul de audit continuă să nu afișeze niciun eveniment după verificarea filtrelor și permisiunilor:
- Notați intervalul exact de timp, tipurile de eveniment și utilizatorul sau resursa implicată.
- Confirmați dacă evenimentele apar deloc în jurnalul interfeței de utilizator VaultPAM (înainte de transmiterea către SIEM). Aceasta este înregistrarea definitorie.
- Deschideți un tichet de asistență cu: intervalul de timp pe care l-ați căutat, tipurile și filtrele de evenimente aplicate, rolul și nivelul de permisiune, și dacă jurnalul interfeței de utilizator VaultPAM nu afișează și el niciun eveniment.