Dziennik, który można sprawdzić, a nie tylko przeczytać
Crunu zapisuje to, co dzieje się w twojej organizacji, jako łańcuch skrótów. Jeśli wpis w środku zostanie zmieniony, usunięty lub wstawiony, kontrola integralności to wykaże. Wartości nigdy nie trafiają do dziennika, bo serwer ich nie zna.
- Kontrola integralności jednym kliknięciem
- Eksport JSONL do sprawdzenia gdzie indziej
- Domyślnie 365 dni albo dłużej
Kto, co, kiedy i skąd
Dziennik obejmuje logowania, urządzenia, zaproszenia, role, wersje, rotacje kluczy, maszyny, tokeny, linki dostępu, odmowy i zmiany reguł sieciowych. Możesz go filtrować według osoby, czynności, środowiska lub okresu.
- Połączone skrótamiKażdy wpis jest powiązany z poprzednim. Przycisk Verify integrity uruchamia kontrolę, a Export JSONL daje ci plik do sprawdzenia poza Crunu.
- Dziennik twojego kontaZdarzenia poza organizacjami, takie jak usunięcie organizacji czy odzyskanie dostępu kodem odzyskiwania, trafiają do dziennika twojego konta.
- Nigdy żadnych wartościSerwer nie zna twoich wartości, więc nie mogą one trafić do dziennika ani do alertów.
Wyświetlenie i kopiowanie podpisane przez osobę
Wyświetlenie, skopiowanie lub eksport wartości odbywa się na urządzeniu, więc aplikacja zapisuje to zdarzenie i podpisuje je kluczem danej osoby. Takie wpisy mają etykietę Client-reported.
- Dziennik pobrań za każdym raportemSerwer pamięta, kto otrzymał które wersje, kiedy, ile razy i z jakiego adresu. Na tej podstawie powstaje raport przy offboardingu.
- Najpierw podpis, potem oznaczenieZmodyfikowana aplikacja mogłaby pominąć zdarzenie, dlatego wpisy klienta są oznaczone jako zgłoszone przez klienta.
- Znajdź to późniejFiltruj według osoby, czynności, środowiska lub okresu.
Alerty tam, gdzie twój zespół już zagląda
Kanał alertów w organizacji zlicza powtórzenia. Wysyłaj alerty na webhook podpisany HMAC, który działa z przychodzącymi webhookami Slacka, Microsoft Teams czy PagerDuty, albo na e-mail.
- Co wywołuje alertNowe urządzenie, kod rejestracji użyty dwa razy, maszyna pod nowym adresem, ponownie użyty token CI, seria odmów, wygasła dzierżawa, odzyskanie konta kodem, wygasające certyfikaty, niedostarczone klucze i siedem alertów sieciowych.
- Poziom ważności i testWybierz próg ważności dla każdego kanału i wyślij wiadomość testową, by go sprawdzić.
- Jedna strona stanuMaszyny online, kolejka kluczy, otwarte alerty, wygasające certyfikaty i ostatnia kontrola dziennika na jednej stronie.
Tak długo, jak potrzebujesz
Wpisy są domyślnie przechowywane 365 dni. Organizacja może ten okres tylko wydłużyć, a przycinanie zostawia punkt kontrolny, więc łańcuch nadal da się zweryfikować w całości.
| Ustawienie | Wartość |
|---|---|
| Domyślny okres | 365 dni |
| Kto może go zmienić | Organizacja, i tylko na dłuższy |
| Najdłużej | Do 36 500 dni albo bez limitu |
| Po przycięciu | Zostaje punkt kontrolny, więc łańcuch weryfikuje się w całości |
Czego dziennik dowodzi, a czego nie
Łańcuch sprawia, że zmiany są widoczne. Nie sprawia, że serwer jest uczciwy we wszystkim innym.
- Dziennik to metadaneNazwy, adresy, czas i czynności są widoczne dla serwera. Wartości nie.
- Client-reported znaczy dokładnie toZmodyfikowana aplikacja na czyimś urządzeniu mogłaby pominąć zdarzenie Show lub Copy.
- Nie powstrzyma zawodzącego serweraNieuczciwy serwer może odmówić obsługi albo zgubić wpisy. Ochroną są regularne eksporty JSONL i kopie zapasowe trzymane gdzie indziej.
- E-mail wymaga pocztyNa serwerze we własnym hostingu bez skonfigurowanej poczty dostępne są tylko webhooki. Nie ma wbudowanej aplikacji dla Slacka ani Telegrama.
Odpowiedzi na częste pytania
Masz inne pytanie? Napisz na support@crunu.com
Czy wartości sekretów trafiają kiedykolwiek do dziennika?
Nie. Serwer ich nie zna, więc nie mogą trafić do dziennika ani do alertów.
Jak udowodnić, że dziennik nie był edytowany?
Uruchom Verify integrity w aplikacji albo wyeksportuj JSONL i sprawdź łańcuch skrótów poza Crunu.
Jak długo przechowywane są wpisy?
Domyślnie 365 dni. Organizacja może przechowywać je dłużej, do 36 500 dni albo bez limitu, ale nie krócej.
Czy alerty mogą trafiać do Slacka?
Tak, przez przychodzący webhook Slacka. Każde żądanie jest podpisane HMAC, więc odbiorca może sprawdzić, skąd pochodzi.
Czy mogę zobaczyć, kto oglądał wartość?
Tak, jeśli ta osoba wyświetliła, skopiowała lub wyeksportowała ją w aplikacji. Takie zdarzenia są podpisane przez tę osobę i oznaczone jako Client-reported.
Miej odpowiedź, zanim ktoś zapyta
Utwórz organizację, a dziennik audytu zacznie się od pierwszego logowania.