アカウント
アカウント監査ログの読み方
The audit log is a permanent, filterable record of every action taken inside your Kapsule account, showing who did it, what they touched, when, and from which IP address.
監査ログは、Kapsuleアカウント内で実行されたあらゆるアクションの永続的でフィルタリング可能な記録です。誰が、何に、いつ、どのIPアドレスから実行したかが表示されます。
何か変更されたのに誰も変更したことを覚えていない場合、まずここを確認します。移動したDNSレコード、消えたメールボックス、キャンセルされたサブスクリプションなどです。また、監査人や保険会社がインフラへのアクセス権を持つ者を証明するよう求めてきた場合、エクスポートする記録でもあります。
監査ログを開く
- Settings に移動します。
- 設定レールのWorkspaceグループで Account をクリックします。
- Audit log カードを見つけます。「Full history of account activity」と説明されています。
- View log をクリックします。
ログは /settings/audit-log にあります。直接そこに移動する場合はそちらをご利用ください。
各列の意味
| Column | 内容 |
|---|---|
| When | アクションが発生してからの経過時間。「just now」「minutes」「hours」「days」で表示されます。ホバーして、お客様のロケールでの正確な日時を確認できます。 |
| Actor | アクションを実行した人物の名前またはメールアドレス。スケジュール更新料金などプラットフォーム自体が実行した自動アクションは System に属します。 |
| Action | 色付きチップの短い機械可読コード。例えば site.created や domain.dns.updated です。 |
| Resource | 影響を受けたものの種類とその内部識別子の開始部分。 |
| IP | リクエストが発信されたIPアドレス。アドレスが記録されていない場合はダッシュです。 |
When 列はイベントの順序を示していますが、インシデント発生時に重要なのは Actor 列と IP 列です。チームメンバーの一人に属するアクションが、その誰もが仕事をしたことのない国のIPアドレスから来ている場合は、ログインが乗っ取られたことを示す最も明確な信号です。
アクション名とカバー内容
アクションコードは製品のどの部分に属するかでグループ化されており、チップはグループごとに色分けされています。最も頻繁に見られるグループは以下の通りです:
site.*はウェブサイトで実行されたすべてのアクション用。作成、削除、設定変更、PHPバージョン変更。mailbox.*はメールボックス作成、削除、クォータおよびパスワード変更用。domain.*は登録、トランスファー、更新、ネームサーバー変更用。dns.*は個別DNSレコード変更用。email.*はメールプラットフォーム上の変更用。subscription.*およびbilling.*はプラン変更、キャンセル、および支払いイベント用。api_key.*はAPIキーの作成と取り消し用。auth.*およびaccount.*はサインインセキュリティイベント、パスワードリセット要求、メール変更用。
一部のアクションコードは、機能の背後に存在していたシステムの名前で数年前に命名されています。ログはそれらを表示前に中立的な名前に書き換えるため、画面で読む内容は、保存されている値が古い場合でも現在の製品用語です。
ログをフィルタリングする
テーブルの上には2つのフィルターがあります。
Filter by action はフリーテキストボックスです。アクションコードに基づいてマッチするため、domain と入力するとドメインイベントに限定され、deleted と入力するとあらゆる製品領域の削除が見つかります。「これはいつ削除されたのか、誰が削除したのか」という質問に答える最速の方法です。
All types は影響を受けたリソースの種類で絞り込むドロップダウンです。利用可能な種類は site、mailbox、domain、subscription、dns_record、および api_key です。
2つのフィルターは結合されます。domain リソースタイプを選択し、アクションボックスに delete と入力すると、ドメイン削除のみが表示されます。
テーブルは一度に1ページ読み込まれます。下部の Load more をクリックして次のバッチを取得します。フィルターはサーバー上で適用されるため、フィルター済みビューは既に画面上にある行だけではなく、履歴全体をページングします。
コンプライアンス用のエクスポート
右上の Export CSV をクリックします。ダウンロードには、現在画面に読み込まれている行が含まれ、列は Timestamp、Actor、Action、Resource Type、Resource、IP です。タイムスタンプは、テーブルに表示される相対的な「3d ago」ではなく、完全なISO日時です。
エクスポートは読み込まれた内容を取得するもので、履歴全体ではありません。長期間が必要な場合は、十分に前の時点までページングするまで Load more をクリックしてからエクスポートします。事前にフィルターを適用して、はるかに小さなセットをページングするようにします。
CSVはあらゆるスプレッドシートアプリケーションで正常に開きます。年間アクセスレビューの場合、api_key リソースタイプを チームメンバーリスト のスクリーンショットとともにエクスポートすれば、通常、監査人が必要とするすべてです。
インシデント中にログを使用する
誰かが許可なくアカウントに到達したと思われる場合は、この順序でログを確認してください:
- 最初はフィルターなしで確認します。 直近1日のアクションをスキャンして、あらゆる製品領域で認識できないアクションを探します。
- 個別のIPアドレスすべてを記録します。 実行していないアクションに関連しているもの。
- アクターを確認します。 アクションが実際のチームメイトに属している場合、問題はアカウント全体ではなく、そのチームメイトのログインです。
api_key.createdを確認します。 APIキー作成は、侵入者がパスワード変更後にアクセスを維持する一般的な方法です。キーはパスワードリセットとセッションサインアウト後も存続するためです。account.email.change_initiatedを確認します。 メール変更の試みは、アカウント乗っ取り試行の強い信号です。
その後、対応します。セッションとキーを取り消し、パスワードを変更して、2段階認証を有効にします。Account Security に完全な手順があり、What to Do If Your Site Is Hacked はサイト側についてカバーしています。
監査ログがカバーしていないもの
監査ログは Kapsule 経由で 実行されたアクションを記録します。パネル、API、および自動化されたジョブです。ウェブサーバーログではなく、アプリケーションログでもありません。
含まれていないもの:
- ウェブサイトへのリクエスト。それらはサイトのアクセスログとエラーログに含まれています。
- WordPressユーザーが投稿を編集するなど、アプリケーション内で実行されたアクション。
- SSHまたはSFTP経由でファイルシステムに対して直接実行されたアクション。
- 送受信されたメール。メールフローは別途記録されます。
アカウント侵害ではなくサイト侵害を調査している場合、監査ログは攻撃者がKapsuleログインを通じて来たかどうかを示し、サイトのエラーログとアクセスログはアプリケーション経由で来たかどうかを示しています。通常、両方が必要です。
トラブルシューティング
ログが空です。 アクティビティがない新規アカウントは「No audit log entries yet」と表示されます。何かを作成または変更して更新します。
確実に実行したアクションがありません。 監査エントリはアクションの副作用として書き込まれ、それをブロックすることは許可されていません。そのため、変更自体は成功したが、エントリは時々失われることがあります。ログを何が起こったかの強力な証拠として扱い、他に何も起こらなかったことの証明ではなく。
IP列がダッシュを表示します。 そのリクエストのクライアントアドレスが記録されていません。これは自動更新などプラットフォーム自体によって実行されたアクションで通常です。
ログに表示されるより古いエントリが必要です。 Load more でページングを続けます。最後に到達してもまだ古い記録が必要な場合は、サポートチケットを開く 並びに Settings から Account にあるSupport Keyを記載してください。