Nhật ký kiểm toán chống giả mạo
Một bản ghi không thể bị âm thầm ghi đè.
Một nhật ký bạn có thể chỉnh sửa không phải là bằng chứng — nó chỉ là một gợi ý. Dấu vết kiểm toán của Clavitor là một chuỗi mật mã: mỗi sự kiện được băm vào sự kiện trước đó, vị trí của chuỗi được xác nhận trên hạ tầng riêng biệt và chỉ cần một lần duyệt duy nhất qua toàn bộ chuỗi để chứng minh không có gì bị thay đổi, xóa hoặc sắp xếp lại. Không phải kiểu "chúng tôi hứa chúng tôi không động vào nó." Hãy tự mình xác minh.
Mọi hành động đều được lưu vào hồ sơ.
Két an toàn lưu trữ thông tin xác thực chỉ đáng tin cậy bằng bản ghi về việc ai đã sử dụng nó. Clavitor ghi lại mọi lần đọc thông tin xác thực, mọi lần tự động điền, mọi yêu cầu TOTP, mọi lần đăng nhập, mọi thay đổi quản trị — và mọi lần từ chối. Mỗi sự kiện đều ghi lại ai, cái gì, khi nào, từ đâu và kết thúc như thế nào.
Ai, và thuộc loại nào
Mỗi sự kiện được gán cho một tác nhân cụ thể và được gắn thẻ loại tác nhân — con người, tiện ích mở rộng trình duyệt hoặc tác nhân AI. Hoạt động của tác nhân được tách biệt với hoạt động của con người trên cùng một dòng, vì vậy một tác vụ thu thập dữ liệu không thể ẩn mình trong dữ liệu nhiễu của quá trình sử dụng thông thường.
Toàn bộ vòng đời
Tạo, đọc, cập nhật, xóa — và mọi lần sử dụng. Tự động điền và chèn proxy được ghi lại giống như đọc thủ công. Không gì động vào thông tin xác thực một cách âm thầm; không có đường dẫn nào đến bí mật mà không để lại một dòng nhật ký.
Kết quả, không chỉ thành công
Mỗi sự kiện ghi lại cách nó kết thúc — thành công, thất bại hoặc bị từ chối — với mã lý do. Một tác nhân bị chặn, một đợt yêu cầu bị giới hạn tốc độ, một IP bị từ chối, một lần đăng nhập thất bại: tất cả đều được ghi lại. Kiểm toán viên quan tâm nhiều hơn đến những gì đã bị chặn hơn là những gì đã thành công.
Chuỗi
Được băm vào lịch sử.
Mỗi dòng nhật ký kiểm toán được liên kết với dòng trước đó bằng một hàm băm. Thay đổi bất kỳ dòng nào trước đó — chỉnh sửa một trường, xóa một sự kiện, sắp xếp lại hai dòng — và mọi hàm băm sau đó sẽ không khớp nữa. Việc giả mạo không thể bị che giấu; nó phá vỡ cấu trúc và lộ rõ.
# every row carries the hash of the row before it row_hash = SHA256( prev_hash | event_id | created_at | data ) # any edit, delete, or reorder breaks the recomputation # rows are append-only — never UPDATEd, never DELETEd
Đây là nguyên tắc chỉ ghi thêm (append-only) giống như toàn bộ két an toàn được xây dựng — nhật ký kiểm toán không áp dụng phiên bản yếu hơn của nguyên tắc này. Tại sao không bao giờ ghi đè →
Được xác nhận bên ngoài hệ thống
Ghi đè cục bộ là chưa đủ.
Một chuỗi tự nó bảo vệ chống lại các chỉnh sửa bên trong nhật ký. Nhưng quản trị viên nắm giữ ổ đĩa có thể, về lý thuyết, tính toán lại toàn bộ chuỗi từ một điểm bắt đầu giả mạo. Vì vậy, chuỗi không chỉ tồn tại trên hệ thống ghi nó.
Đầu của mỗi chuỗi của két an toàn được neo vào cơ sở hạ tầng riêng biệt — một hệ thống xác nhận một chiều ghi lại vị trí của chuỗi tại mỗi lần đánh dấu thời gian. Để ghi đè lịch sử một cách thuyết phục, bạn sẽ phải vượt qua nhật ký và hệ thống xác nhận, đồng thời, mà không bao giờ có sự khác biệt.
Một hệ thống thứ hai ghi nhớ vị trí
POP ghi nhật ký đẩy đầu chuỗi của nó — trình tự và hàm băm — đến trung tâm như một hệ thống xác nhận nỗ lực tối đa. Trung tâm không bao giờ nằm trong đường dẫn ghi, vì vậy nó không bao giờ có thể làm chậm két an toàn; nó chỉ ghi nhớ trạng thái cuối cùng của chuỗi mà nó được cập nhật.
Nếu nhật ký cục bộ bao giờ ngắn hơn vị trí được xác nhận, đó là một lần quay ngược. Nếu một vị trí được xác nhận trả về một hàm băm khác, đó là một nhánh rẽ. Một trong hai trường hợp là một nỗ lực cắt bớt hoặc ghi đè — và một trong hai trường hợp sẽ kích hoạt cảnh báo cho quản trị viên ngay khi nó được phát hiện.
Xác minh theo yêu cầu
Một lần duyệt. Nguyên vẹn hoặc bị phá vỡ.
Bạn không cần tin lời chúng tôi về bất kỳ điều gì trong số này. Két an toàn sẽ duyệt lại chuỗi từ dòng đầu tiên, tính toán lại mọi hàm băm và cho bạn biết kết quả — một huy hiệu xác minh ghi là nguyên vẹn hoặc, nếu một byte duy nhất bị di chuyển, là hỏng. Không có trạng thái vàng, không có "có lẽ ổn". Một kiểm tra bảo mật nếu thất bại thì phải báo lỗi rõ ràng; và tính năng này làm được điều đó.
Được mã hóa, và vẫn có thể truy vấn
Bản ghi chứng minh ai đã hành động — mà không tiết lộ họ đã truy cập những gì.
Nhật ký kiểm toán được mã hóa khi lưu trữ với lược đồ cấp trường giống như thông tin xác thực mà nó theo dõi. Chỉ các cột cấu trúc — id sự kiện, id mục nhập, dấu thời gian — vẫn ở dạng văn bản thuần túy, vì đó là tất cả những gì một truy vấn cần. Một ổ đĩa bị đánh cắp sẽ cho ra các token không thể đọc được, không phải là bản đồ về địa chỉ IP, tác nhân và các mẫu truy cập của bạn.
Các thao tác pivot vẫn hoạt động mà không tiết lộ điều đó. Mỗi dòng chứa các token bucket băm có khóa, vì vậy "mọi thứ IP này đã làm" hoặc "mọi lần đọc bị từ chối" chạy như một truy vấn được lập chỉ mục và chỉ giải mã các dòng khớp — không bao giờ toàn bộ kho dữ liệu, không bao giờ một chỉ mục văn bản thuần túy mà kẻ đánh cắp ổ đĩa có thể đọc được. Bạn nhận được truy vấn. Kẻ tấn công nhận được nhiễu.
Báo cáo
Bằng chứng tuân thủ, sẵn sàng sử dụng.
Nhật ký kiểm toán là một trang chính trong két an toàn — không phải là một bản xuất dữ liệu bạn phải tái tạo sau khi sự việc đã rồi. Lọc theo tác nhân, mục nhập, IP hoặc phạm vi ngày. Nhấp vào bất kỳ ô nào để lọc chéo. Sắp xếp theo bất kỳ cột nào. Nhóm theo ngày, hành động, kết quả hoặc tác nhân. Các thẻ lọc hiển thị số lượng trực tiếp khi bạn thu hẹp phạm vi. Xuất kết quả sang CSV cho SIEM hoặc kiểm toán viên của bạn.
CMMC CẤP 2
Bằng chứng kiểm toán và trách nhiệm giải trình
Các kiểm soát NIST SP 800-171 3.3.1 (ghi lại những gì cần thiết), 3.3.2 (liên kết với danh tính) và 3.3.8 (bảo vệ tính toàn vẹn của nhật ký) yêu cầu danh tính, IP và dấu thời gian cho mỗi sự kiện, được lưu trữ an toàn và chống giả mạo. Clavitor ghi lại cả ba, mã hóa nhật ký và xâu chuỗi nó.
SOC 2 · ISO 27001
Bằng chứng giám sát, có thể truy vấn
Tiêu chí Trust Services CC7.2 và ISO/IEC 27001 A.8.15 yêu cầu nhật ký xác thực và các hành động đặc quyền. Mỗi lần truy cập thông tin xác thực là một sự kiện như vậy — được gán loại tác nhân, ghi nhận kết quả, mã hóa, có thể lọc và xuất được.
HIPAA · GDPR
Trách nhiệm giải trình ngay từ thiết kế
Các kiểm soát kiểm toán HIPAA §164.312(b) và các nghĩa vụ trách nhiệm giải trình của GDPR Điều 32 được đáp ứng bởi cùng một nhật ký. Không có mô-đun tuân thủ riêng, không có phí bổ sung — dấu vết kiểm toán là một phần của sản phẩm. Các gói Enterprise bổ sung xuất dữ liệu từ nhiều két an toàn sang SIEM của bạn.
Chính sách trở thành bằng chứng.
Nếu không có bản ghi đáng tin cậy, mọi tuyên bố về kiểm soát truy cập chỉ là chính sách — "chúng tôi không xem", "tác nhân được giới hạn phạm vi", "không có gì bị rò rỉ". Với một nhật ký được liên kết, được xác nhận, có thể xác minh, những tuyên bố đó trở thành những thứ bạn có thể kiểm tra. Đó là sự khác biệt giữa việc yêu cầu bạn tin chúng tôi và cho phép bạn tự mình kiểm chứng.
Xem nửa còn lại của bản ghi.
Dấu vết kiểm toán chứng minh ai đã hành động. Tính bất biến chứng minh dữ liệu họ hành động trên đó chưa bao giờ bị âm thầm thay đổi bên dưới.