文档中心

配置审计日志采集参数

最近更新时间：2023.11.30 14:19:26

首次发布时间：2023.11.30 14:19:26

启用数据面审计后，您可以选择在 Kibana 页面配置审计日志采集参数。日志采集参数有默认缺省值，支持您按需修改采集参数。

日志参数配置入口

通过公网地址登录 Kibana 页面。相关文档，请参见登录可视化工具页面。
在 Kibana 菜单栏选择 Security > Audit logs。
按需配置日志采集参数。

日志采集参数说明

配置分类	参数名	描述
审计日志	Storage location	审计输出位置，固定值为 internal_elasticsearch。
审计日志	Enable audit logging	审计总开关，效果与 ES 实例详情中的数据面审计开关相同。 Enabled Disabled
层次配置	REST layer	采集 HTTP 请求的开关。 Enabled Disabled
	REST disabled categories	采集过程中忽略的 HTTP 事件类型列表，为空时表示全量采集。事件类型详情，请参见本文中的事件类型表。
	Transport layer	采集 RPC 请求的开关。 Enabled Disabled
	Transport disabled categories	采集过程中忽略的 RPC 事件类型列表，为空时表示全量采集。事件类型详情，请参见本文中的事件类型表。
属性配置	Bulk requests	展开批量写入（`_bulk`）请求的开关，打开时会为写入的每条文档记录一条审计日志，建议关闭。 Enabled Disabled
	Request body	记录请求体的开关。 Enabled Disabled
	Resolve indices	从请求中提取索引名的开关，当且仅当打开 RPC 采集时生效。 Enabled Disabled
	Sensitive headers	是否过滤敏感 header 的开关，建议打开。 Enabled Disabled
忽略列表	Ignored users	忽略采集的账号列表，允许使用``通配符。当访问者账号命中该列表时，忽略其造成的审计日志。经典用法：忽略系统管理员`bytees_,admin,kibanaserver`。
忽略列表	Ignored requests	忽略采集的请求列表，允许使用``通配。当访问请求类型或action路径命中该列表时，跳过输出审计。经典用法：忽略查询请求`SearchRequest,MultiSearchRequest,indices:data/read/`。

事件类型

事件分类	事件	埋点层次	描述
失败	FAILED_LOGIN	REST、Transport	身份认证失败，大概率是用户不存在或密码错误。
失败	MISSING_PRIVILEGES	Transport	访问者没有执行请求的权限。
异常	SSL_EXCEPTION	REST、Transport	当前访问没有可信的 SSL 或 TLS 证书。
	OPENDISTRO_SECURITY_INDEX_ATTEMPT	Transport	越权请求，非 admin 或未授权用户尝试修改安全插件内部用户或权限索引。
	BAD_HEADERS	REST、Transport	危险请求，尝试覆盖安全插件内部 header。
成功	AUTHENTICATED	REST、Transport	权限认证成功。
成功	GRANTED_PRIVILEGES	Transport	请求执行成功。
标签	INDEX_EVENT	Transport	索引管理事件：indices:admin/*。

日志参数配置入口

日志采集参数说明