„Kdo to udělal a kdy?“ je jedna z otázek, které dřív nebo později padnou v každé vážně míněné firemní aplikaci. Někdy je pozadí neškodné: administrátor chce pochopit, proč uživatel viděl určitou věc, manažer si zpětně prochází postup, technik podpory reprodukuje nahlášený problém. Jindy je situace vypjatá: audit compliance se ptá, kdo přistoupil k citlivému záznamu, přezkum incidentu zjišťuje, kdo schválil určitou změnu, bezpečnostní vyšetřování ověřuje, zda aktivita účtu odpovídá tomu, co se od jeho majitele čeká. V obou případech musí být odpověď na jeden dotaz daleko — ne forenzní rekonstrukce, kterou z logů serveru poskládá inženýr, co je zrovna po ruce. Přesně to poskytuje plnohodnotný protokol událostí, jeden z nejnovějších přírůstků platformy.
Základem je jednotná podoba události. Každá událost zaznamenaná platformou má stejnou strukturu: aktéra (uživatele nebo systém, který událost vyvolal), akci (co se dělo), předmět (čeho se to týkalo), čas a dost kontextu, aby událost dávala smysl — prostředí, relaci, případně IP adresu a relevantní stav před změnou a po ní. Právě tahle jednotnost dělá protokol prohledatelným a analyzovatelným i ve velkém: každá událost má stejný tvar, takže dotazy a sestavy nemusí zvlášť ošetřovat každý druh události.
První zaznamenávanou kategorií jsou události přihlašování. Přihlášení, odhlášení, neúspěšné pokusy o přihlášení, obnovy hesla, výměny přes SSO, vydání a použití přihlašovacích odkazů (magic link), ukončení relací — každá interakce s přihlašovacím systémem se zaznamená. Na otázku „kdo se sem pokoušel přihlásit pod tímto uživatelem“, která se v každém bezpečnostním vyšetřování dřív nebo později objeví, dají události přihlašování okamžitou odpověď. A pro compliance reporting, který potřebuje doklad o vzorcích přístupů, jsou právě ony zdrojem.
Datové události pokrývají změny objektů při běžné práci. Vytvoření, úprava nebo smazání záznamu vytvoří datovou událost se zachyceným stavem před a po. Změny na úrovni vlastností — kde nastaly, kdo je provedl a jaká byla předchozí hodnota — se zaznamenávají v podrobnosti, která unese otázku „kdo změnil tohle pole“, aniž byste potřebovali samostatný auditní mechanismus. Článek o protokolu aktivit popisuje pohled na tato data u jednotlivého záznamu; protokol událostí je průřezový pohled, který umožní dotazy přes mnoho záznamů najednou.
Události automatizací zachycují běhové chování plánovaných i spouštěných workflow. Každý běh automatizace zaznamená svůj spouštěč, výsledek, dobu trvání, případné chyby a záznamy, kterých se dotkl. Když ladíte problém s automatizací — pravidlo, které se spustilo, i když nemělo, nebo se nespustilo, i když mělo, nebo jehož výstup je záhadně špatný — pátrání začíná právě v protokolu událostí. Článek o automatizacích popisuje, jak se automatizace tvoří; protokol událostí je plocha, kde se pozorují.
Administrátorské události zachycují operace, které mění konfiguraci prostředí nebo okruh jeho uživatelů. Změny rolí, pozvánky uživatelů, zablokování a odblokování účtů, relace zástupného přihlášení (impersonace), úpravy konfigurace prostředí, změny přepínačů funkcí — vše zaznamenané s odpovědným administrátorem a časem změny. Na otázku compliance „kdo schválil tuto změnu našeho modelu oprávnění“ odpovídají administrátorské události. A stejně poslouží i na provozní dotazy typu „kdy jsme naposledy upravovali toto nastavení“.
Filtrování a hledání dělají protokol zvládnutelným i ve velkém. Rušné prostředí za rok vyprodukuje tisíce až miliony událostí; holý chronologický výpis není k ničemu. Protokol umožňuje filtrovat podle aktéra, kategorie události, typu předmětu, časového okna a dalších polí kontextu — takže „všechny neúspěšné pokusy o přihlášení z této IP za poslední týden“ nebo „všechny chyby automatizace u tohoto typu od pondělí“ jsou otázky na jeden dotaz. Fulltextové hledání v polích kontextu pokryje otevřené případy, kam se filtrovací osy tak úplně nehodí.
Zástupné přihlášení se loguje vždy a je viditelně odlišené od skutečné aktivity uživatele. Když pracovník podpory použije akci zástupného přihlášení a přihlásí se jako konkrétní koncový uživatel, každá událost během té relace nese vedle běžného pole aktéra i značku impersonace. Položky protokolu tak správně přiřadí akce původnímu uživateli (kvůli konzistenci záznamů) a zároveň dají najevo, že za nimi stála relace podpory (kvůli přehlednosti auditu). Právě to dvojí přiřazení udržuje zástupné přihlášení užitečné i dohledatelné.
Rychlý přechod k dotčenému objektu je drobnost s nečekaně velkou každodenní hodnotou. Položka „uživatel X upravil záznam Y“ obsahuje odkaz, který vás zavede přímo na záznam Y — abyste viděli jeho aktuální stav, prošli celou jeho historii, pochopili, co následovalo. Pro administrátory a podporu, kteří něco vyšetřují, je tenhle přechod na jedno kliknutí rozdíl mezi svižným pátráním a archeologickou frustrací.
Doba uchování se nastavuje pro každé prostředí zvlášť, aby odpovídala jeho požadavkům na compliance. Prostředí v silně regulovaných odvětvích mohou události uchovávat po zákonem danou dobu — často několik let. Prostředí bez takových požadavků si mohou zvolit kratší dobu a udržet velikost protokolu v rozumných mezích. Tak či tak platforma pravidlo vynucuje sama: události zastarají podle nastaveného rozvrhu bez ručního zásahu a protokol prostředí zůstává v očekávané velikosti.
Export pro audit je doplňková schopnost pro případy, kdy události potřebují zamířit i jinam než jen do platformy. Pracovník compliance si může stáhnout vyfiltrovaný výsek protokolu. Provozovatel může nastavit průběžný export do externího systému pro agregaci logů a mít monitoring napříč systémy sjednocený. Forenzní vyšetřování si může vytáhnout uchovanou kopii událostí týkajících se incidentu. Export respektuje stejné filtry a hledání jako interaktivní pohled, takže ven jde přesně ten výsek, který jste zamýšleli.
Izolace prostředí platí pro protokol událostí stejně jako pro každou jinou funkci platformy. Události zaznamenané v prostředí A vidí jen administrátoři prostředí A; k žádnému prosakování mezi prostředími nedochází. Pro provozovatele platformy, kteří potřebují přehled napříč celou flotilou, existuje samostatný provozovatelský pohled přes prostředí s řízeným přístupem; protokol na úrovni prostředí pokrývá compliance příběh daného prostředí, aniž by data unikala do stran.
Pro administrátory zodpovědné za bezpečnost svého prostředí, pro auditory, kteří potřebují doklad, že kontroly fungují, pro techniky podpory, kteří diagnostikují uživateli nahlášené potíže, i pro vyšetřovatele, kteří rekonstruují dění v podezřelém období, je protokol událostí tím, co promění „mrknu se do logů“ z mlhavého slibu v konkrétní, rychlou a dobře uspořádanou odpověď. Ze sousedních témat: článek o přihlašování popisuje přihlašovací události, které protokol zachycuje, článek o automatizacích běhové události workflow, článek o více zákaznících na jedné platformě to, jak se na protokol vztahuje izolace, a článek o rolích a oprávněních to, kdo smí data protokolu v daném prostředí vidět. Protokol událostí je způsob, jak platforma zůstává pozorovatelná — pro ty, kdo to potřebují vědět, a ve formě, se kterou se dá reálně pracovat.