NrAuditEvent: log de auditoria da conta de consulta
Como medida de segurança adicional para usar e gerenciar o New Relic, você pode usar o evento NrAuditEvent para visualizar o registro de auditoria que mostra alterações na sua organização do New Relic.
O que é NrAuditEvent?
O NrAuditEvent é criado para registrar alguns tipos importantes de alterações de configuração que você e seu usuário fazem em sua organização New Relic. Os dados coletados incluem o tipo de alteração da conta, qual ator fez a alteração, uma descrição legível da ação realizada e um timestamp da alteração. As informações relatadas incluem:
Para ver todos os atributos relatados por este evento, consulte NrAuditEvent.
Para ser notificado sobre esses tipos de alterações, você pode usar alerta.
Advertências e detalhes sobre o uso NrAuditEvent
Todas as contas New Relic podem consultar até 13 meses de alterações de conta.
Se sua organização e contas New Relic foram criadas usando a API Partnership, NrAuditEvent não retornará informações sobre a criação ou edição de contas.
O registro de auditoria é diferente da configuração do modo de auditoria para um agente . O modo de auditoria APM registra informações sobre todos os dados transmitidos do seu aplicativo.
Exemplo de consulta
Aqui estão alguns exemplos de consulta de NrAuditEvent usando NRQL.
Observe que o criador de consulta na interface só pode consultar uma conta por vez. Se você tiver as permissões corretas, poderá realizar consultas entre contas com o NerdGraph.
Mudanças gerais na conta
Para visualizar todas as alterações em sua conta New Relic em um período específico, execute esta consulta NRQL básica:
SELECT*
FROM NrAuditEvent
SINCE 1day ago
Para consultar que tipo de alteração na conta do usuário foi feita com mais frequência durante um período específico, inclua o atributoactionIdentifierem sua consulta. Por exemplo:
SELECTcount(*)AS Actions
FROM NrAuditEvent
FACET actionIdentifier
SINCE 1 week ago
Para consultar informações sobre contas criadas e quem as criou, você pode usar algo como:
SELECT actorEmail, actorId, targetId
FROM NrAuditEvent
WHERE actionIdentifier ='account.create'
SINCE 1month ago
Ao incluir TIMESERIES em uma consulta NRQL, os resultados são mostrados como um gráfico de linhas. Por exemplo:
SELECTcount(*)
FROM NrAuditEvent
TIMESERIES facet actionIdentifier since 1 week ago
Observe que o modelo de usuário dos seus usuários impactará essas consultas. Caso seus usuários estejam em nosso modelo de usuário original, você só poderá consultar por conta. Se seus usuários estiverem em nosso modelo de usuário mais recente, você deverá consultar a conta de nível superior em sua organização New Relic.
Para ver todas as alterações feitas no usuário, você poderia usar:
SELECT*
FROM NrAuditEvent
WHERE targetType ='user'
SINCE this month
Se você quiser restringir isso para ver as alterações no tipo de usuário, poderá usar:
SELECT*FROM NrAuditEvent
WHERE targetType ='user'
AND actionIdentifier IN('user.self_upgrade','user.change_type')
SINCE this month
Para consultar atualizações do seu monitor Sintético durante um período específico, inclua o atributo actionIdentifier em sua consulta. Por exemplo:
SELECTcount(*)FROM NrAuditEvent
WHERE actionIdentifier ='synthetics_monitor.update_script'
Para consultar quais alterações de configuração foram feitas em qualquer workload, utilize a consulta abaixo. O atributo targetId contém o GUID da workload que foi modificada, que pode ser usado para pesquisas. Como as alterações na carga de trabalho geralmente são automatizadas, talvez você queira incluir o atributo actorType para saber se a alteração foi feita diretamente por um usuário por meio da interface ou da API.
O atributo targetType descreve o objeto que foi alterado, como conta, função, usuário, condição do alerta ou notificação e log. Para gerar uma lista de valores targetType para sua conta, execute a consulta abaixo. Observe que esta consulta mostrará apenas targetTypes que foram tocados.
SELECT uniques(targetType)
FROM NrAuditEvent
SINCE 90 days ago
Alterações feitas por usuário específico
Para ver informações detalhadas sobre qualquer usuário que fez alterações na conta durante um período específico, inclua actorType = 'user' na consulta. Por exemplo:
Para consultar as atividades da conta realizadas por uma pessoa específica durante o período selecionado, você deve conhecer seu actorId. Por exemplo:
SELECT actionIdentifier
FROM NrAuditEvent
WHERE actorId =829034 SINCE 1 week ago
Para identificar quem (actorType) fez mais alterações na conta, inclua o atributoactorEmailna sua consulta. Por exemplo:
SELECTcount(*)as Users
FROM NrAuditEvent
WHERE actorType ='user'
FACET actorEmail SINCE 1 week ago
Para consultar atualizações do seu monitor Sintético feitas por um usuário específico, inclua o atributo actionIdentifier e actorEmail em sua consulta. Por exemplo:
SELECTcount(*)FROM NrAuditEvent
WHERE actionIdentifier ='synthetics_monitor.update_script'
FACET actorEmail, actionIdentifier, description
SINCE 1 week ago LIMIT1000
Alterações feitas usando a API
Para ver informações detalhadas sobre alterações feitas na conta usando uma chave de API durante um período específico, inclua actorType = 'api_key' na consulta. Por exemplo: