Filtrar e investigar · BreezeAuth Docs

Uma organização movimentada registra muitos eventos por dia. Os filtros no topo da página Logs de Auditoria reduzem a lista ao que você procura.

Os filtros

Filtro	O que mantém
Tipo de ator	Usuário: ações executadas por pessoas e usuários de serviço. Sistema: ações que o BreezeAuth executou por conta própria.
Tipo de evento	Um tipo de evento, como Falha na autenticação do usuário. A lista está em ordem alfabética: digite algumas letras para buscar.
Usuário	Eventos sobre um usuário da sua organização. Busque por nome ou e-mail.
Grupo	Eventos sobre um grupo, como as alterações nele e os membros adicionados ou removidos.

Para retirar um filtro, limpe-o com o × no campo.

Quando você usa vários filtros, um evento precisa atender a todos. Por exemplo, Tipo de evento Usuário da organização atualizado e Usuário “Ana Souza” mostra apenas as alterações feitas no usuário da Ana.

Importante: o filtro Usuário encontra os eventos sobre o usuário selecionado, e não os eventos que ele executou. Para revisar o que um administrador fez, filtre por Tipo de evento e observe a coluna Ator.

Os filtros fazem parte do endereço da página. Para compartilhar uma investigação com um colega que também pode ver os logs de auditoria, copie o endereço do navegador: ele verá a mesma lista filtrada.

Roteiros

Quem alterou o papel ou o status de alguém?

Em Usuário, escolha a pessoa.
Em Tipo de evento, escolha Usuário da organização atualizado.
Passe o mouse sobre o ícone de documento de cada registro para ver as alterações, como adminRole ou status, e confira a coluna Ator para ver quem as fez.

Alguém está tentando invadir uma conta?

Em Tipo de evento, escolha Falha na autenticação do usuário.
Se quiser, escolha a pessoa em Usuário.
Observe as colunas Endereço IP e Data. Muitas falhas em pouco tempo, ou vindas de um endereço desconhecido, merecem atenção.

Se parecer um ataque, encerre as sessões do usuário e considere restringir o acesso por rede ou por país. As falhas de login são registradas apenas para usuários gerenciados.

O que mudou nas configurações de segurança?

Em Tipo de evento, escolha Organização atualizada.
Passe o mouse sobre o ícone de documento para ver quais configurações mudaram, como mfaEnforced, minimumPasswordLength ou applicationsAccessLocked.

Quem recebeu acesso a uma aplicação?

Em Tipo de evento, escolha Atribuição de aplicação criada para os acessos dados a usuários individualmente, ou Atribuição de aplicação ao grupo criada para os acessos dados a grupos. A coluna Entidade / Recurso mostra a aplicação e o usuário ou grupo.

Quando uma integração foi usada pela última vez?

Em Tipo de evento, escolha Credencial de usuário de serviço utilizada. Cada registro é uma credencial sendo usada para obter um token de acesso, com o usuário de serviço na coluna Entidade / Recurso e o endereço IP da integração.

O que aconteceu durante um incidente?

Filtre por Tipo de ator Usuário e percorra os eventos do período, do mais antigo para o mais recente, procurando atores e endereços IP inesperados. Depois, confira as próprias ações de resposta a incidentes, como Todas as sessões ativas da organização encerradas ou Atualização de senha exigida para todos. Veja Resposta a incidentes.

Para desenvolvedores: ler os logs de auditoria pela API

Para exportar os logs de auditoria para o seu próprio sistema de logs, SIEM ou conformidade, leia-os pela API do BreezeAuth com um usuário de serviço que tenha o papel Auditor:

curl -G "https://api.breezeauth.com/organizations/$ORGANIZATIONS_UUID/audit-events" \
  -H "Authorization: Bearer $ACCESS_TOKEN" \
  --data-urlencode "page=0" \
  --data-urlencode "pageSize=50" \
  --data-urlencode "sort=createdAt,desc" \
  --data-urlencode 'filter={"type":"FilterItem","field":"eventType","operator":"FILTER_OPERATOR_EQUAL","value":"USER_LOGIN_FAILED"}'

page começa em 0. O campo meta da resposta informa o total de registros.
filter é opcional. Você pode filtrar por eventType e actorType (com FILTER_OPERATOR_EQUAL, ou FILTER_OPERATOR_IN e uma lista separada por vírgulas), e por applicationsUuid, usersUuid, membershipsUuid ou groupsUuid (com FILTER_OPERATOR_EQUAL). Para combinar condições, envolva-as em {"type":"FilterOperator","operator":"AND","filterItems":[…]}.
Os tipos de evento usam os nomes técnicos, como MEMBERSHIP_UPDATED ou USER_LOGIN_FAILED. Eles estão no catálogo de eventos.

Para reagir às mudanças assim que elas acontecem, em vez de ler o histórico, use webhooks.