Инструменты для работы с аудитными логами
Аудитные логи могут загружаться в бакет Yandex Object Storage, лог-группу Yandex Cloud Logging, поток данных Yandex Data Streams.
В зависимости от того, где находятся логи, для их просмотра и поиска событий применяются различные инструменты:
Yandex Query
Сервис Query применяется для работы с логами, которые загружаются в бакет или поток данных:
- Если логи находятся в бакете, то можно анализировать события ресурсов Yandex Cloud, выполняя аналитические запросы на языке YQL.
- Если логи находятся в потоке данных, то можно анализировать события ресурсов Yandex Cloud, выполняя потоковые запросы на языке YQL.
Чтобы использовать Yandex Query, настройте привязку к данным в зависимости от объекта назначения:
-
Создайте сервисный аккаунт с именем
bucket-yq-sa. -
Назначьте сервисному аккаунту
bucket-yq-saрольstorage.viewerна каталог, в котором находится бакет с логами. -
Создайте соединение:
- В консоли управления выберите каталог, в котором находится трейл, поставляющий логи в бакет.
- Выберите сервис Audit Trails.
- Выберите трейл, поставляющий логи в бакет.
- Нажмите Обработать в YQ.
- Выберите Сервисный аккаунт
bucket-yq-sa. - Для остальных параметров оставьте значения по умолчанию.
- Нажмите Создать.
-
В окне с параметрами привязки к данным нажмите Создать.
-
Выполните нужный запрос.
- Создайте сервисный аккаунт с именем
bucket-yq-sa. - Назначьте сервисному аккаунту
bucket-yq-saрольyds.editor. - Создайте соединение. При создании укажите настройки для типа соединения Data Streams.
- Создайте привязку.
- Выполните нужный запрос.
Cloud Logging
Сервис Cloud Logging применяется для работы с логами, которые загружаются в лог-группу.
Можно анализировать события ресурсов Yandex Cloud, фильтруя логи с помощью языка фильтрующих выражений.
Чтобы использовать Cloud Logging:
- Прочитайте логи в лог-группе.
- Отфильтруйте логи нужным образом.
Утилита jq
Утилита jq применяется для работы с логами, которые загружаются в бакет.
Логи хранятся в бакете в виде JSON-файлов. Поэтому можно анализировать события ресурсов Yandex Cloud, извлекая нужные события из файлов с помощью фильтров jq.
Чтобы использовать jq:
-
Установите и настройте программу s3fs или goofys, позволяющую монтировать бакеты Object Storage через FUSE.
-
Смонтируйте бакет с аудитными логами к вашей файловой системе через s3fs или goofys.
-
Установите утилиту jq.
-
Выполните команду с нужным фильтром
jq.
Примечание
В примерах команд для работы с логами утилита jq используется в связке с утилитой find. Утилита find нужна, чтобы передать на обработку все файлы с логами, которые содержатся в бакете.