Настройка событий аудита безопасности в цепочках#

При включении security лога в профиле, возможно добавление дополнительных событий в данный лог.

Список событий аудита, включенных по умолчанию:

JsonValidation - в случае ошибок валидации;
XsdValidation - в случае ошибок валидации;
SimpleRateLimiter - в случае превышения лимита.

Важно

При переопределении аудита для этих действий следует повторно описать события по умолчанию.

Параметры настройки#

В таблице ниже приведены параметры настройки событий аудита.

Параметр	Возможные значения	Обязательность	Описание
enabled	true/false	нет	Включение/отключение аудита данного действия
events	Список событий	да	Список событий, которые необходимо дополнительно аудировать
events.name	Строка	да	Название-идентификатор события
events.message	Строка	да	Сообщение для аудирования
events.conditions	Список условий	да	Список условий, при которых необходимо аудировать событие
events.conditions.var	Строка	да	Переменная проверки условия
events.conditions.operator	„=“, „!=“, „<=“, „>=“, „>“, „<“, „in“, „not_in“, „~“, „~“, „!~“, „!~“,“ip_range“,“!ip_range“,“dn_mask“,“!dn_mask“	да	Оператор проверки условия
events.conditions.val	Строка	да	Значение проверки условия
fields	Список дополнительных полей для аудита	нет	Список дополнительных полей, передаваемых в сообщении аудита
fields.key	Строка	да	Ключ поля
fields.val	Строка	да	Значение поля

Важно

Если событие аудита используется в действии-преобразователе сообщения, то свойства, используемые в параметрах, берутся из исходного сообщения.

Пример использования:

Например, в IcapFileChecker включен режим bypass и необходимо аудировать событие bypass при срабатывании.

 - message: $clj_request_body
   actions:
     - action: ICAPFileChecker
       id: icap
       params:
         icap_url: http://10.10.10.10:1234/
         icap_mode: RESPMOD
         icap_write_timeout: 1s
         icap_read_timeout: 1s
         icap_connect_timeout: 1s
         icap_unavailable_action: pass
         icap_transaction_timeout: 1s
       audit:
         enabled: true
         events:
           - name: "ICAP_BYPASSED"
             message: "Message was bypassed"
             conditions:
               - var: '$clj_bypassed_action_icap'
                 val: '1'
                 operator: '='
             fields:
               - key: file_size
                 val: $clj_message_size