Правило аудита

Правило аудита — элемент конфигурации системы аудита, определяющий, какие события или операции подлежат регистрации. В зависимости от реализации оно также может задавать фильтры и добавлять к записи метку или ключ, тогда как формат и основной состав записи определяет сама система аудита. Правило обычно задаёт категорию или источник события, тип операции, объект или категорию объекта, а также условия отбора, например пользователя и результат операции. Точный набор параметров зависит от реализации. Детализация правил влияет на полноту расследований, объём журналов, нагрузку на систему сбора и требования к хранению логов. Правила аудита применяют в операционных системах, СУБД, средствах управления доступом и сетевых устройствах. Централизованные платформы мониторинга могут принимать сформированные записи, но их правила фильтрации, корреляции и оповещения не следует автоматически считать правилами аудита. Правила аудита помогают контролировать значимые действия и формировать доказательную базу для расследований и проверок. В общем случае правило аудита отличается от политики аудита: политика задаёт цели, охват и общие требования контроля, а правило реализует конкретное условие регистрации. Однако граница между этими понятиями зависит от терминологии продукта. Правило также не является записью журнала: запись появляется только после наступления соответствующего события.