Ein Log, das Sie prüfen können, nicht nur lesen
Crunu zeichnet als Kette von Hashes auf, was in Ihrer Organisation passiert. Wird ein Eintrag in der Mitte geändert, entfernt oder eingefügt, zeigt die Integritätsprüfung es an. Werte erscheinen nie im Log, weil der Server sie nicht kennt.
- Integrität per Klick prüfen
- Als JSONL exportieren und anderswo prüfen
- Standardmäßig 365 Tage aufbewahrt, oder länger
Wer, was, wann und von wo
Das Log erfasst Anmeldungen, Geräte, Einladungen, Rollen, Versionen, Schlüsselrotationen, Maschinen, Tokens, Freigabelinks, Abweisungen und Änderungen an Netzwerkrichtlinien. Filtern Sie nach Person, Aktion, Umgebung oder Zeitraum.
- Über Hashes verknüpftJeder Eintrag ist mit dem vorherigen verknüpft. „Verify integrity“ führt die Prüfung aus, „Export JSONL“ gibt Ihnen die Datei, um sie außerhalb von Crunu zu prüfen.
- Das Log Ihres eigenen KontosEreignisse außerhalb einer Organisation, etwa das Löschen einer Organisation oder die Wiederherstellung des Zugangs mit einem Wiederherstellungscode, landen im Log Ihres Kontos.
- Niemals WerteDer Server kennt Ihre Werte nicht, deshalb können sie weder ins Log noch in Warnungen gelangen.
Anzeigen und Kopieren, von der Person signiert
Einen Wert anzeigen, kopieren oder exportieren geschieht auf dem Gerät. Deshalb protokolliert die App den Vorgang und signiert ihn mit dem Schlüssel der Person. Diese Einträge tragen die Markierung „Client-reported“.
- Das Abrufprotokoll hinter jedem BerichtDer Server merkt sich, wer welche Versionen erhalten hat, wann, wie oft und von welcher Adresse. Daraus entsteht der Bericht beim Offboarding.
- Erst signiert, dann markiertEine veränderte App könnte ein Ereignis weglassen. Deshalb sind Einträge des Clients als vom Client gemeldet gekennzeichnet.
- Später wiederfindenFiltern Sie nach Person, Aktion, Umgebung oder Zeitraum.
Warnungen dort, wo Ihr Team ohnehin hinschaut
Ein Warnungsfeed in der Organisation zählt Wiederholungen. Senden Sie Warnungen an einen mit HMAC signierten Webhook, der mit eingehenden Webhooks von Slack, Microsoft Teams oder PagerDuty funktioniert, oder per E-Mail.
- Was eine Warnung auslöstEin neues Gerät, ein zweimal verwendeter Registrierungscode, eine Maschine unter neuer Adresse, ein erneut vorgelegtes CI-Token, eine Serie von Abweisungen, eine abgelaufene Lease, eine Wiederherstellung per Code, ablaufende Zertifikate, nicht zugestellte Schlüssel und sieben Netzwerkwarnungen.
- Schweregrad und TestWählen Sie für jeden Kanal eine Mindeststufe und senden Sie eine Testnachricht, um ihn zu prüfen.
- Eine StatusseiteMaschinen online, die Schlüsselwarteschlange, offene Warnungen, ablaufende Zertifikate und die letzte Prüfung des Logs auf einer Seite.
So lange aufbewahrt, wie Sie es brauchen
Einträge werden standardmäßig 365 Tage aufbewahrt. Eine Organisation kann das nur verlängern, und beim Kürzen bleibt ein Prüfpunkt, sodass sich die Kette weiterhin vollständig prüfen lässt.
| Einstellung | Wert |
|---|---|
| Standardaufbewahrung | 365 Tage |
| Wer sie ändern kann | Die Organisation, und nur zum Verlängern |
| Maximal | Bis zu 36.500 Tage oder unbegrenzt |
| Nach dem Kürzen | Ein Prüfpunkt bleibt, die Kette lässt sich vollständig prüfen |
Was ein Log beweisen kann und was nicht
Die Kette macht Änderungen sichtbar. Sie macht den Server nicht in allem anderen ehrlich.
- Das Log besteht aus MetadatenNamen, Adressen, Zeitpunkte und Aktionen sind für den Server sichtbar. Werte nicht.
- „Client-reported“ heißt genau dasEine veränderte App auf dem Gerät einer Person könnte ein Ereignis „Show“ oder „Copy“ weglassen.
- Gegen einen versagenden Server hilft es nichtEin böswilliger Server kann den Dienst verweigern oder Einträge verlieren. Schutz bieten regelmäßige JSONL-Exporte und Backups an einem anderen Ort.
- E-Mail braucht E-MailAuf einem selbst gehosteten Server ohne eingerichteten E-Mail-Versand sind nur Webhooks verfügbar. Eine eingebaute App für Slack oder Telegram gibt es nicht.
Häufige Fragen
Noch etwas anderes? Schreiben Sie an support@crunu.com
Werden Secret-Werte jemals ins Log geschrieben?
Nein. Der Server kennt sie nicht, deshalb können sie weder ins Log noch in Warnungen gelangen.
Wie beweise ich, dass das Log nicht verändert wurde?
Führen Sie in der App „Verify integrity“ aus, oder exportieren Sie JSONL und prüfen Sie die Hash-Kette außerhalb von Crunu.
Wie lange werden Einträge aufbewahrt?
Standardmäßig 365 Tage. Eine Organisation kann sie länger aufbewahren, bis zu 36.500 Tage oder unbegrenzt, aber nicht kürzer.
Können Warnungen in Slack landen?
Ja, über einen eingehenden Webhook von Slack. Jede Anfrage ist mit HMAC signiert, sodass Ihr Empfänger prüfen kann, woher sie kommt.
Kann ich sehen, wer sich einen Wert angesehen hat?
Ja, wenn die Person ihn in der App angezeigt, kopiert oder exportiert hat. Diese Ereignisse sind von der Person signiert und als „Client-reported“ markiert.
Die Antwort haben, bevor jemand fragt
Erstellen Sie eine Organisation, und das Audit-Log beginnt mit der ersten Anmeldung.