سجل التدقيق لأنظمة SIEM

يستطيع فريق الأمن لديك جمع سجل تدقيق جديرون في نظام SIEM (مثل Splunk أو Microsoft Sentinel أو QRadar أو Elastic): كل تغيير في التطبيق أو عبر الواجهة البرمجية، وعمليات تسجيل الدخول، وتصدير البيانات، ونشاط مشرفي المنصة، مع الفاعل والإجراء والسجل والقيمة قبل التغيير وبعده وعنوان IP ووكيل المستخدم. هناك طريقتان للحصول عليه، ويمكنك استخدامهما معًا.

كلاهما يحمل الكائن نفسه، وهو موصوف في صفحة المرجع أحداث التدقيق.

السحب: الاستعلام من السجل

1. أنشئ تكاملًا لنظام SIEM بصلاحية audit.view فقط (وأضف recruitment.candidate.contact فقط إن كان مسموحًا لنظام SIEM حفظ بيانات تواصل المرشحين؛ ومن دونها تظهر [redacted]).
2. أول تشغيل: تصفّح GET /api/v1/audit-events?limit=100 من البداية، متتبعًا nextCursor حتى يصبح null.
3. احفظ قيمة occurredAt لآخر صف.
4. كل بضع دقائق: استعلم مجددًا مع updatedSince = الوقت المحفوظ، وتجاوز المعرّفات التي لديك (الصفوف المسجلة في ذلك الوقت بالضبط تعود).

تأتي الصفوف من الأقدم إلى الأحدث ولا تتغير أبدًا، فالسجل من جهتك يُضاف إليه فقط.

الدفع: الحدث audit.recorded

1. من الإعدادات ← التكاملات ← (التكامل) ← خطافات الويب، أضف نقطة استقبال (مُجمِّع HTTP لنظام SIEM، خلف مستقبِل صغير يتحقق من التوقيع) واختر audit.recorded. وهو مُدرج منفصلًا ولا يشمله *.
2. يُرسَل كل صف تدقيق حدثًا واحدًا، وdata.object = صف التدقيق.
3. تحقق من التوقيع وأزل التكرار حسب معرّف الحدث كما في خطافات الويب.

استخدم السحب للاستدراك كلما تعطلت نقطة الاستقبال أطول من فترة إعادة المحاولة.

ما يحتويه السجل وما لا يحتويه

• يحتوي: كل تغيير (من التطبيق والواجهة البرمجية والأتمتة)، وعمليات تسجيل الدخول (auth.signed_in)، وتغيير كلمات المرور، وتصدير البيانات (audit.log.exported وpeople.participation.exported …)، وتغييرات مفاتيح التكاملات ونقاط استقبالها (settings.integration.*)، وإجراءات مشرفي منصة جديرون داخل مساحة عملك.
• لا يحتوي عمليات القراءة عبر الواجهة البرمجية. القراءة عبرها لا تُسجَّل، فيُظهر السجل ما غيّرته تكاملاتك لا ما قرأته.
• تُفرَّغ الأسرار (كلمات المرور والرموز) عند كتابة الصف. وتُخفى بيانات تواصل المرشح عند القراءة ما لم يكن المفتاح يملك recruitment.candidate.contact، وتُستبعد تغييرات الأجر (الوظائف والأوصاف الوظيفية وسلالم الرواتب) ومعرّفات الأجر ومبالغه المحفوظة في المستوى الأعلى من metadata (مثلاً عند إنشاء وظيفة أو شاغر) وmetadata.gradeCode ما لم يكن يملك structure.functional.salary.

الربط بحقول SIEM

الجمع على مستوى الجهة

في النشر المخصص، يستطيع نظام SIEM لدى الجهة أو الشركة القابضة قراءة صفوف تدقيق كل مساحات العمل عبر تكامل قراءة واحد على مستوى النشر. ويشمل سجله أيضًا صفوف المنصة (workspaceId: null): إجراءات لوحة تحكم المنصة مثل إنشاء مساحات العمل، ودخول مشرفي المنصة وخروجهم، وتغييرات أدوار اللوحة وتكاملاتها، ومحاولات تسجيل الدخول الفاشلة إلى اللوحة (admin.login_failed). صفِّ حسب action إن كنت تحتاج بعضها فقط.