Cum pot administratorii Enterprise să revizuiască și să investigheze activitatea de audit?
Revizuirea activității de audit ajută administratorii Enterprise să investigheze evenimentele relevante, să înțeleagă schimbările operaționale și să identifice activitățile care pot necesita o atenție suplimentară.
O investigație eficientă ar trebui să se concentreze pe evenimentul specific sau pe operațiunea de afaceri, mai degrabă decât să revizuiască înregistrările nerelevante.
Cum să investighezi un eveniment
Pasul 1: Identifică problema.
Determină ce s-a întâmplat sau ce activitate necesită revizuire.
Exemple includ o schimbare neașteptată a configurației, o operațiune eșuată sau o acțiune suspectată ca fiind neautorizată.
Pasul 2: Stabilește intervalul de timp relevant.
Identifică data și ora aproximativă a evenimentului.
Include fusul orar atunci când documentezi incidentul.
Pasul 3: Identifică spațiul de lucru afectat.
Confirmă care spațiu de lucru Enterprise sau mediu de afaceri este implicat.
Pasul 4: Revizuiește informațiile de audit disponibile.
Folosește funcționalitatea de guvernanță sau audit relevantă disponibilă pentru contul tău autorizat.
Pasul 5: Identifică evenimentele corelate.
Caută înregistrări asociate cu aceeași operațiune, resursă sau interval de timp.
Pasul 6: Revizuiește actorul înregistrat.
Acolo unde informațiile despre actor sunt disponibile, determină dacă evenimentul a fost asociat cu un utilizator uman, componentă de sistem sau o altă sursă înregistrată.
Pasul 7: Examinează rezultatul evenimentului.
Identifică dacă înregistrarea indică succes, eșec, respingere sau un alt rezultat relevant.
Pasul 8: Compară cu istoricul de execuție.
Dacă problema implică o automatizare, un angajat AI, un flux de lucru sau un proces de afaceri, revizuiește informațiile corespunzătoare de execuție.
Pasul 9: Verifică dependențele externe.
Dacă a fost implicată o integrare, verifică rezultatul în serviciul extern, acolo unde este cazul.
Pasul 10: Documentează constatările.
Înregistrează dovezile relevante, observațiile și orice acțiuni corective.
Ce să fac dacă nu pot găsi evenimentul?
Explicațiile posibile includ:
1. A fost selectat spațiul de lucru greșit.
2. Intervalul de timp este incorect.
3. Evenimentul este înregistrat într-o altă istorie operațională.
4. Contul tău nu are permisiunea de a accesa înregistrările relevante.
5. Tipul de eveniment nu este inclus în acoperirea de audit disponibilă.
6. Înregistrarea este în afara perioadei de retenție aplicabile.
Nu presupune că absența unei înregistrări vizibile dovedește că o activitate nu a avut loc.
Pot investiga un incident folosind doar jurnalele de audit?
Nu întotdeauna.
O investigație completă poate necesita rezultate de execuție, informații despre accesul utilizatorului, detalii despre integrare și înregistrări din sisteme externe.
Ar trebui să modific configurația în timpul unei investigații?
Evită modificările inutile înainte de a colecta dovezile relevante.
Modificările de configurație pot altera mediu și pot face problema originală mai dificil de reprodus.
Când ar trebui să contactez suportul Polyosync?
Contactează suportul atunci când înregistrările relevante sunt inaccesibile, un eveniment nu poate fi explicat sau o problemă suspectată a platformei necesită o investigație suplimentară.
Furnizează spațiul de lucru afectat, timestamp-ul aproximativ, descrierea evenimentului și orice informații de diagnostic non-sensibile.
Abordare recomandată
Investigarea evenimentelor sistematic folosind informațiile de audit disponibile și înregistrările operaționale corelate.
Evită să tragi concluzii din evenimente izolate fără a revizui contextul lor înconjurător.