Um log que você pode conferir, não só ler
O Crunu registra o que acontece na sua organização como uma cadeia de hashes. Se uma entrada no meio for alterada, removida ou inserida, a verificação de integridade mostra isso. Os valores nunca aparecem no log, porque o servidor não os conhece.
- Verificação de integridade em um clique
- Exporte em JSONL para conferir em outro lugar
- Guardado por 365 dias por padrão, ou mais
Quem, o quê, quando e de onde
O log cobre logins, dispositivos, convites, funções, versões, rotações de chaves, máquinas, tokens, links de compartilhamento, recusas e mudanças na política de rede. Filtre por pessoa, ação, ambiente ou período.
- Ligado por hashesCada entrada é ligada à anterior. O Verify integrity executa a verificação, e o Export JSONL entrega o arquivo para você conferir fora do Crunu.
- O log da sua própria contaEventos fora de qualquer organização, como excluir uma organização ou recuperar o acesso com um código de recuperação, vão para o log da sua conta.
- Nenhum valor, nuncaO servidor não conhece os seus valores, então eles não têm como chegar ao log nem aos alertas.
Exibir e copiar, com a assinatura da pessoa
Exibir, copiar ou exportar um valor acontece no dispositivo, então o app registra a ação e a assina com a chave da pessoa. Essas entradas levam a marca Client-reported.
- O log de entregas por trás de cada relatórioO servidor lembra quem recebeu quais versões, quando, quantas vezes e de qual endereço. O relatório de offboarding é montado a partir dele.
- Assinadas e marcadasUm app modificado poderia omitir um evento; por isso, as entradas do cliente são marcadas como informadas pelo cliente.
- Encontre depoisFiltre por pessoa, ação, ambiente ou período.
Alertas onde a sua equipe já olha
Um feed de alertas na organização conta as repetições. Envie os alertas a um webhook assinado com HMAC, que funciona com os incoming webhooks do Slack, do Microsoft Teams ou do PagerDuty, ou por e-mail.
- O que gera um alertaUm novo dispositivo, um código de registro usado duas vezes, uma máquina num novo endereço, um token de CI reapresentado, uma série de recusas, uma concessão expirada, uma recuperação com código, certificados perto de expirar, chaves não entregues e sete alertas de rede.
- Gravidade e testeEscolha um limite de gravidade para cada canal e envie uma mensagem de teste para conferir.
- Uma página de statusMáquinas online, a fila de chaves, os alertas abertos, os certificados perto de expirar e a última verificação do log, numa só página.
Mantido enquanto você precisar
As entradas são guardadas por 365 dias por padrão. Uma organização só pode aumentar esse prazo, e o corte deixa um ponto de controle, para que a cadeia continue verificável por inteiro.
| Configuração | Valor |
|---|---|
| Retenção padrão | 365 dias |
| Quem pode mudar | A organização, e só para guardar por mais tempo |
| Máximo | Até 36.500 dias, ou sem limite |
| Depois do corte | Fica um ponto de controle, e a cadeia é verificada por inteiro |
O que um log consegue e não consegue provar
A cadeia torna as edições visíveis. Ela não torna o servidor honesto sobre todo o resto.
- O log é metadadoNomes, endereços, horários e ações ficam visíveis para o servidor. Os valores, não.
- Client-reported quer dizer exatamente issoUm app modificado no dispositivo de alguém poderia omitir um evento Show ou Copy.
- Ele não impede um servidor de falharUm servidor hostil pode recusar o serviço ou perder registros. A defesa são exportações regulares em JSONL e backups guardados em outro lugar.
- E-mail exige e-mail configuradoNum servidor auto-hospedado sem e-mail configurado, só os webhooks estão disponíveis. Não há app integrado para Slack ou Telegram.
Respostas às dúvidas mais comuns
Outra dúvida? Escreva para support@crunu.com
Valores secretos chegam a ser gravados no log?
Não. O servidor não os conhece, então eles não têm como chegar ao log nem aos alertas.
Como provo que o log não foi editado?
Execute o Verify integrity no app, ou exporte em JSONL e confira a cadeia de hashes fora do Crunu.
Por quanto tempo as entradas ficam guardadas?
365 dias por padrão. Uma organização pode guardá-las por mais tempo, até 36.500 dias ou sem limite, mas não por menos.
Os alertas podem ir para o Slack?
Sim, por um incoming webhook do Slack. Cada requisição é assinada com HMAC, para que o seu receptor confira de onde ela veio.
Consigo ver quem olhou um valor?
Sim, quando a pessoa o exibiu, copiou ou exportou no app. Esses eventos são assinados pela pessoa e marcados como Client-reported.
Tenha a resposta antes que alguém pergunte
Crie uma organização, e o log de auditoria começa com o primeiro login.