Campi evento

Gli eventi di tracciamento delle attività si basano sullo standard Cloud Auditing Data Federation (CADF).

Lo standard CADF definisce un modello evento completo che include le informazioni necessarie per certificare, gestire e controllare la sicurezza delle applicazioni negli ambienti cloud.

Il modello evento CADF include i seguenti componenti:

Componenti disponibili in un modello di evento CADF
Componente	Descrizione
`Action`	L'azione è l'operazione o l'attività eseguita, tentata o in attesa di completamento da un iniziatore.
`Initiator`	L'iniziatore è la risorsa che esegue una chiamata API e genera un evento CADF. L'evento che viene attivato dipende dall'azione che è stata richiesta dalla chiamata API.
`Observer`	L'osservatore è la risorsa che crea e archivia un record CADF dalle informazioni disponibili in un evento CADF.
`Outcome`	Il risultato è lo stato dell'azione per la destinazione.
`Target`	La destinazione è la risorsa su cui viene eseguita, tentata o è in attesa di completamento l'azione.

In ogni evento Activity Tracker sono inclusi i seguenti campi:

azione (stringa)

Questo campo indica l'azione che attiva un evento.

Il formato di questo campo è il seguente:

serviceName.objectType.action

Dove

servicename è il nome del servizio.

Esiste un'eccezione sul servicename che viene impostato per le azioni segnalate dall'infrastruttura VPC. Il formato di servicename è composto da 2 parti separate da un punto ( . ).
objectType descrive la risorsa o l'attributo della risorsa su cui viene richiesta l'azione.
action definisce il compito richiesto dall'iniziatore.

Alcune azioni valide sono: activate, add, apply, approve authorize ', bulkdelete, create, copy, read, update, delete, backup, build, capture, clear, commit, configure, deploy, disable, enable, end, get, import, ' init, inspect, list, monitor, notify, pull, push, provision, restore, start stop undeploy, update ' , ' receive, reimport, remove, send, set, setkeyfordeletion, unsetkeyfordeletion, set-on, set-off, authenticate, renew, revoke, allow, deny, evaluate, notify, reset, rotate, ack-delete, ack-restore, ack-disable, ack-enable, ack-expire, ack-restore-over, ack-rotate, ack-sync, edit, publish write pause refresh, resume, unsetkeyfordeletion, failover, split, expire, unwrap, wrap, rewrap, head, expire, reapprove, export, start, stop, pause, resume, power-off, reboot, soft-reboot, hard-reboot, power-on, rename, rescue, reload, scale, search, reject

Per ulteriori informazioni sui valori di azione generati dai servizi, vedere Servizi che generano eventi.

Ad esempio, un'azione di esempio è iam-am.policy.create.

correlationId (stringa)

Questo campo indica il GUID univoco che puoi utilizzare per correlare gli eventi tra più servizi nel tuo account.

dataEvent (booleano)

Questo campo specifica il tipo di evento, se si tratta di un evento di gestione o di un evento dati.

Per un evento di gestione, questo campo è impostato su false.
Per un evento dati, questo campo è impostato su true.

eventTime (stringa)

Questo campo indica il timestamp della creazione dell'evento.

Il timestamp visualizzato per un evento nell'interfaccia utente è impostato su eventTime e indica l'ora in cui è stato creato l'evento.

La data è rappresentata come UTC (Universal Time Coordinated).

Il formato di questo campo è:

YYYY-MM-DDTHH:mm:ss.SS+0000

Ad esempio, un esempio eventTime è 2017-10-19T19:07:50.32+0000.

id (stringa)

Campo facoltativo che può essere utilizzato per correlare gli eventi di monitoraggio delle attività all'interno di un servizio.

Campi dell'iniziatore

I campi iniziatore forniscono informazioni sull'utente, sul servizio o sull'applicazione che richiede l'esecuzione di un'azione nel tuo account.

initiator.id (stringa)

Questo campo fornisce informazioni sull'ID dell'iniziatore che richiede l'azione.

È possibile trovare uno dei seguenti iniziatori:

IBM ID per gli utenti che utilizzano un token IAM per attivare un'azione nel tuo account.
Service ID per servizi o applicazioni che attivano un'azione nel tuo account.
Certificate ID per le richieste in cui un certificato viene utilizzato per attivare un'azione nel tuo account.
Profile ID per le richieste eseguite utilizzando un profilo attendibile

initiator.name (stringa)

Questo campo fornisce informazioni sul nome utente dell'iniziatore dell'azione.

Questo è il nome leggibile dall'uomo che corrisponde al valore initiator.id.

Quando l'iniziatore è un servizio IBM Cloud, il campo è impostato su IBM o sul nome del servizio.

initiator.authnId (stringa)

ID dell'utente che accede a IBM Cloud.

initiator.authnName (stringa)

Nome utente dell'utente che accede a IBM Cloud.

initiator.typeURI (stringa)

Questo campo definisce il tipo di origine dell'evento.

I valori validi sono:

service/security/account/user
service/security/account/serviceid,
service/security/client/certificateid
service/security/clientid

initiator.credential.type (stringa)

Questo campo definisce il tipo di credenziale utilizzata dall'iniziatore per eseguire l'azione.

I valori validi sono:

token
user
apikey
certificate
public-access
hmac
compute-resource
instance-identity-token
apikey-serviceid
s2s-authorization

initiator.host.address (stringa)

Questo campo fornisce informazioni sull'indirizzo da cui proviene la richiesta. Ad esempio, l'interfaccia utente o la CLI.

Il formato di questo campo è:

xxx.xxx.xxx.xxx

Ad esempio, un esempio di initiator.host.address è 15.234.123.12.

Quando l'iniziatore di un'azione è un servizio IBM Cloud, questo campo è impostato su vuoto.

initiator.host.addressType (stringa)

Questo campo fornisce informazioni sul tipo di indirizzo IP da cui proviene la richiesta.

I valori validi sono:

IPv4
IPv6
CSE
subnet

Il valore predefinito è IPv4.

initiator.host.agent (stringa)

Questo campo fornisce informazioni che è possibile utilizzare per identificare l'origine della richiesta.

Questo campo verrà impostato sull'indirizzo IP di origine della richiesta per IPV4 e IPv6. Per subnet verrà incluso l'IP del blocco CIDR. Per CSE il valore sarà vuoto.

logSourceCRN (stringa)

Questo campo specifica il Cloud Resource Name (CRN) dell'istanza del servizio che genera l'evento. Per ulteriori informazioni sul formato CRN, vedere Nomi delle risorse cloud.

messaggio (stringa)

Questo campo è impostato sulla descrizione comprensibile dell'evento.

Il formato di questo campo è:

serviceName: {event description} [outcome]

Dove

servicename indica il nome del servizio.
{event description} fornisce una versione leggibile dall'uomo di ciò che l'evento sta segnalando.
outcome è facoltativo e viene incluso solo quando l'esito della richiesta è failure.

observer.name (stringa)

Questo campo è impostato sul valore fisso ActivityTracker.

risultato (stringa)

Questo campo indica il risultato dell'azione.

I valori validi sono: success, pending o failure.

Campi motivo

I campi Motivo forniscono informazioni sull'esito della richiesta.

reason.reasonCode (numerico)

Questo campo restituisce il codice di risposta HTTP dell'azione richiesta.

Ad esempio, il campo reason.reasonCode è impostato su:

403 per segnalare un accesso proibito o non autorizzato
409 per segnalare un conflitto

I valori del codice motivo si trovano in HTTP response codes.

reason.reasonType (stringa)

Questo campo fornisce informazioni aggiuntive sul risultato dell'azione richiesta.

reason.reasonForFailure (stringa)

Questo campo fornisce informazioni aggiuntive sul motivo per cui l'azione non è riuscita.

requestData (JSON)

Se il campo è disponibile, include informazioni aggiuntive sulla richiesta.

Le informazioni incluse in requestData sono specifiche per ogni tipo di azione. Consultare la documentazione API di una richiesta per conoscere alcuni dei campi che potrebbero essere inclusi.

responseData (JSON)

Se il campo è disponibile, include informazioni aggiuntive sulla richiesta.

Le informazioni incluse in responseData sono specifiche per ogni tipo di azione. Consultare la documentazione API di una richiesta per conoscere alcuni dei campi che potrebbero essere inclusi.

saveServiceCopy (booleano)

Questo campo determina se il servizio IBM Cloud che genera l'evento salva una copia dell'evento per l'audit IBM Cloud.

Quando è impostato su true, il servizio che genera l'evento ne salva una copia.

gravità (stringa)

Questo campo definisce il livello di minaccia che un'azione può avere su IBM Cloud.

I valori validi sono: normal, warning, e critical.

La tabella seguente descrive come questo campo viene impostato in base al tipo di azione:

Valori di gravità per tipo di azione
Valore	Il tipo di azione	Esempio di azione
`normal`	Azioni di routine in IBM Cloud	Avvia un'istanza
`warning`	Azioni che non superano Azioni in cui una risorsa viene aggiornata o i suoi metadati vengono modificati	Rinomina un'istanza del servizio
`critical`	Azioni che influiscono sulla sicurezza in IBM Cloud come la modifica delle credenziali di un utente o l'eliminazione dei dati Azioni in cui l'iniziatore non è autorizzato a lavorare con una risorsa IBM Cloud	Elimina una chiave di sicurezza

Quando il reasonCode per una chiamata API è uno dei seguenti valori, il valore di severity viene impostato come segue:

Valore di gravità per alcuni codici di motivo
reasonCode	descrizione	severity
`400`	`Bad Request`	`warning`
`401`	`Unauthorized`	`critical`
`403`	`Forbidden`	`critical`
`409`	`Conflict`	`warning`
`424`	`Failed Dependency`	`warning`
`500`	`Internal Server Error`	`warning`
`502`	`Bad Gateway`	`warning`
`503`	`Service Unavailable`	`critical`
`504`	`Gateway Timeout`	`warning`
`505`	`HTTP Version Not Supported`	`warning`
`507`	`Insufficient Storage`	`critical`

Campi di destinazione

I campi di destinazione forniscono informazioni sulla risorsa a cui si accede, che viene creata, aggiornata o eliminata dall'azione dell'iniziatore nel tuo account.

La tabella seguente elenca i campi target comuni disponibili per ciascun evento:

Campi di destinazione comuni
Nome campo	Descrizione	Valore
`target.id`	CRN (Cloud Resource Name) della risorsa in cui viene eseguita l'azione.	Ad esempio, `crn:v1:bluemix:public:cloud-object-storage:global:a/12345678e6232019c6567c9123456789:fr56et47-befb-440a-a223c-12345678dae1:bucket:bucket1`
`target.name`	Nome leggibile della risorsa su cui viene eseguita l'azione.
`target.typeURI`	Il tipo di risorsa cloud su cui viene eseguita l'azione.	Ad esempio, `iam-am/policy` o `cloud-object-storage/bucket/acl`
`target.host.address`	Indirizzo IP o URL del servizio di destinazione

target.id (stringa)

Questo campo indica la risorsa IBM Cloud su cui viene eseguita l'azione.

Il formato di questo campo è CRN. Per ulteriori informazioni, vedi Formato del CRN.

target.name (stringa)

Questo campo indica il nome leggibile della risorsa IBM Cloud su cui viene eseguita l'azione.

Assicurarsi che il nome delle risorse non includa dati sensibili o PII.

target.alias (stringa)

Impostare questo valore sull'alias della risorsa cloud utilizzata nella richiesta e su cui viene eseguita l'azione.

Questo campo è facoltativo.

target.typeURI (stringa)

Questo campo indica il tipo di destinazione dell'evento.

Questo campo non include informazioni sull'azione.

Il formato di questo campo è:

serviceName/objectType/attribute

Dove

servicename è il nome del servizio.
objectType è la risorsa su cui viene eseguita l'azione.

Ad esempio:

Esempi target.typeURI
azione	target.typeURI
cloudcerts.certificate.import	cloudcerts/certificato
container-registry.namespace.create	contenitore-registro/spazio dei nomi
kms.secrets.read	km/segreti
cloud-object-storage.instance.create	archiviazione-oggetti-cloud/istanza
cloud-object-storage.object-multipart.create	archiviazione-oggetti-cloud/oggetto/multipart

target.resourceGroupId (stringa)

Questo campo è impostato sul CRN del gruppo di risorse associato alla risorsa su cui è richiesta l'azione.

Questo campo si applica solo agli eventi generati dai servizi le cui risorse sono associate a un gruppo di risorse. Ad esempio, i servizi globali che non possono essere forniti nel contesto di un gruppo di risorse non includono questo campo.

target.host.address (stringa)

Questo campo definisce l'indirizzo IP o URL del servizio di destinazione.

Questo campo è facoltativo.