Een log die je kunt controleren, niet alleen lezen
Crunu legt vast wat er in je organisatie gebeurt, als een keten van hashes. Wordt er in het midden een logregel gewijzigd, verwijderd of ingevoegd, dan laat de integriteitscontrole dat zien. Waarden komen nooit in de log, omdat de server ze niet kent.
- Integriteit verifiëren met één klik
- JSONL-export om elders te controleren
- Standaard 365 dagen bewaard, of langer
Wie, wat, wanneer en vanaf waar
De log omvat inlogs, apparaten, uitnodigingen, rollen, versies, sleutelrotaties, machines, tokens, deellinks, weigeringen en wijzigingen in het netwerkbeleid. Filter op persoon, actie, omgeving of periode.
- Gekoppeld door hashesElke logregel is gekoppeld aan de vorige. De knop Verify integrity voert de controle uit, Export JSONL geeft je het bestand om buiten Crunu te controleren.
- De log van je eigen accountGebeurtenissen buiten een organisatie, zoals een organisatie verwijderen of toegang herstellen met een herstelcode, komen in de log van je account.
- Nooit waardenDe server kent je waarden niet, dus ze kunnen niet in de log of in waarschuwingen terechtkomen.
Tonen en kopiëren, ondertekend door de persoon zelf
Een waarde tonen, kopiëren of exporteren gebeurt op het apparaat, dus de app legt dat vast en ondertekent het met de sleutel van de persoon. Deze logregels krijgen het label Client-reported.
- De log van opgehaalde versies achter elk rapportDe server onthoudt wie welke versies heeft ontvangen, wanneer, hoe vaak en vanaf welk adres. Het offboardingrapport wordt daaruit opgebouwd.
- Ondertekend en gemarkeerdEen aangepaste app kan een gebeurtenis weglaten. Daarom zijn logregels van de client gemarkeerd als door de client gemeld.
- Later terugvindenFilter op persoon, actie, omgeving of periode.
Waarschuwingen waar je team al kijkt
Een overzicht van waarschuwingen in de organisatie telt herhalingen. Stuur ze naar e-mail of naar een met HMAC ondertekende webhook, die werkt met de incoming webhooks van Slack, Microsoft Teams of PagerDuty.
- Wat een waarschuwing geeftEen nieuw apparaat, een inschrijfcode die twee keer is gebruikt, een machine op een nieuw adres, een hergebruikt CI-token, een reeks weigeringen, een verlopen lease, herstel met een code, certificaten die bijna verlopen, niet-afgeleverde sleutels en zeven netwerkwaarschuwingen.
- Drempel en testberichtKies per kanaal een drempel voor de ernst en stuur een testbericht om het kanaal te controleren.
- Eén statuspaginaMachines die online zijn, de sleutelwachtrij, openstaande waarschuwingen, certificaten die bijna verlopen en de laatste logcontrole, op één pagina.
Bewaard zo lang als je nodig hebt
Logregels worden standaard 365 dagen bewaard. Een organisatie kan dat alleen verlengen, en na het opschonen blijft een controlepunt achter, zodat de keten nog steeds volledig te verifiëren is.
| Instelling | Waarde |
|---|---|
| Standaardtermijn | 365 dagen |
| Wie die kan wijzigen | De organisatie, en alleen om langer te bewaren |
| Maximaal | Tot 36.500 dagen, of zonder limiet |
| Na opschonen | Er blijft een controlepunt, dus de keten blijft volledig te verifiëren |
Wat een log wel en niet kan bewijzen
De keten maakt wijzigingen zichtbaar. De server wordt er voor de rest niet eerlijker van.
- De log is metadataNamen, adressen, tijdstippen en acties zijn zichtbaar voor de server. Waarden niet.
- Client-reported betekent precies datEen aangepaste app op iemands apparaat kan een Show- of Copy-gebeurtenis weglaten.
- Tegen een falende server helpt het nietEen vijandige server kan de dienst weigeren of records kwijtraken. Daartegen helpen regelmatige JSONL-exports en back-ups die elders staan.
- E-mail moet ingesteld zijnOp een zelfgehoste server zonder ingestelde e-mail zijn alleen webhooks beschikbaar. Er is geen ingebouwde Slack- of Telegram-app.
Veelgestelde vragen
Iets anders? Mail naar support@crunu.com
Komen waarden van secrets ooit in de log?
Nee. De server kent ze niet, dus ze kunnen niet in de log of in waarschuwingen terechtkomen.
Hoe bewijs ik dat de log niet is gewijzigd?
Gebruik Verify integrity in de app, of exporteer JSONL en controleer de hashketen buiten Crunu.
Hoe lang worden logregels bewaard?
Standaard 365 dagen. Een organisatie kan ze langer bewaren, tot 36.500 dagen of zonder limiet, maar niet korter.
Kunnen waarschuwingen naar Slack?
Ja, via een incoming webhook van Slack. Elk verzoek is ondertekend met HMAC, zodat je ontvanger kan controleren waar het vandaan komt.
Kan ik zien wie een waarde heeft bekeken?
Ja, als die persoon de waarde in de app heeft getoond, gekopieerd of geëxporteerd. Die gebeurtenissen zijn ondertekend door de persoon en gemarkeerd als Client-reported.
Weet het antwoord al voordat iemand het vraagt
Maak een organisatie aan, en de auditlog begint bij de eerste inlog.