Az auditnapló: válasz arra, hogy "ki tette", nem arra, hogy "mi történt"

A megfigyelés és az auditnapló két különböző dolog, és össze szokták keverni. A megfigyelés arra válaszol, hogy "mi történt": megtelt a lemez, elszállt egy szolgáltatás, megnőtt a terhelés. Az auditnapló arra válaszol, hogy ki tette. A második értéke olyan napokon mutatkozik meg, amelyek remélhetőleg soha nem jönnek el.

Három pillanat

Valami megváltozott, és senki nem emlékszik rá, hogy megváltoztatta. A válasz többnyire az, hogy három hete a gép gazdája maga tette, és ez inkább megkönnyebbülés, mint vád: egy ismeretlen változás sokkal nyugtalanítóbb, mint egy ismert.

Ketten dolgoznak ugyanazon a gépen, és mindkettő a másikra gondol. Ilyenkor a vitát egyedül a feljegyzés zárja le.

Tényleg elromlott valami, és kell az események sorrendje. A végállapot azt mutatja meg, mi történt; a sorrend azt, hogyan. A második nélkül ugyanaz megismétlődik.

A "root tette" nem válasz

Ha mindenki ugyanazzal a fiókkal jelentkezik be, a feljegyzésben szereplő név mindenkinél ugyanaz. A feljegyzés továbbra is válaszol arra, hogy "mi történt", de arra már nem, hogy "ki tette". Ezért egy egyszemélyes rendszerben az auditnapló lényegtelen, és attól a naptól válik kritikussá, amikor megjelenik a második ember.

Mi nem kerülhet a feljegyzésbe

A kérés törzse. Jelszavak, kulcsok és tokenek utaznak benne. Egy mindent rögzítő feljegyzés azt jelenti, hogy a titkok egy új helyen is léteznek, és ez a hely általában kevésbé védett, mert a besorolása "csak egy napló".

Az auditnaplónak öt dolog kell: ki, mit, mikor, min, és mi lett az eredmény. Hatodik hozzáadása előtt először azt kell megkérdezni, hordoz-e titkot.

A hely dönti el, hogy bizonyíték-e

Az a feljegyzés, amit csak az alkalmazás ír és át is ír, magánnapló, nem bizonyíték. Ha maga az alkalmazás kerül idegen kézbe, a feljegyzést is kijavítja.

Ezért a feljegyzésnek olyan helyre is meg kell érkeznie, ahová az alkalmazás nem ér el. A rendszer saját naplója pontosan erre való: az alkalmazás ír bele, de törölni nem tud belőle.

Megőrzés

A három napig megőrzött auditnapló arra válaszol, hogy "ki tette tegnap", és semmi másra. A kérdések nagy része viszont hetekkel később érkezik, mert egy változás hatása általában nem azonnal látszik. Az auditnaplót más megfontolás szerint érdemes megőrizni, mint a biztonsági mentéseket: kevés helyet foglal, és sokáig értékes marad.

Mit csinál az Atlas

Az Atlas öt dolgot ír az auditnaplóba: ki, mit, mikor, min, és mi lett az eredmény. A kérés törzse soha nem kerül bele, mert egy bejelentkezési kérés jelszót hordoz, és semmilyen haszna nincs annak, hogy ez a jelszó egy naplófájlban másodszor is létezzen.

A feljegyzés egyszerre két helyre kerül. Az egyik a rendszer saját naplója: az Atlas ír bele, de nem tud kivenni belőle és nem tudja módosítani. A másik egy fájl a termék adatmappájában, amit a frissítések nem törölnek. Így az olvasáshoz nem kell leereszkedni a rendszernaplóba, de ott is megvan, amikor szükség van rá.

Apró, de fontos részlet: az időbélyeg a feljegyzés legvégére kerül. Így akkor sem írható felül, ha a feljegyzést létrehozó oldal saját időbélyeget ad át. Ma semmi nem próbálkozik ezzel, de egy auditnaplóban a sorrend helyessége a dolog természetéhez tartozik.

Az elutasított kérések is bekerülnek, nem csak a lefutottak. Így az az információ is ott van a feljegyzésben, hogy "valaki megpróbálta, és nem sikerült"; legtöbbször éppen ez a keresett mondat.