Передача событий безопасности в файл или Kafka

В Blitz Identity Provider можно настроить регистрацию событий безопасности в один или несколько приемников. Настройка задается в блоке настроек blitz.prod.local.idp.audit.

Необходимо задать следующие настройки:

• emitters – определяет список приемников записей аудита. По каждому приемнику заполняется блок настроек:

  • type – тип приемника. Возможные значения:

    • audit-store – запись производится в СУБД;

    • log – запись производится в логгер с именем AUDIT.

  • enabled – необязательная настройка – определяет, включен или нет приемник;

  • include – необязательная настройка – перечисляются типы событий безопасности (см. таблицу ниже), по которым осуществляется запись в приемник. Если настройка не указана, то пишутся все события безопасности;

  • exclude – необязательная настройка – перечисляются типы событий безопасности (см. таблицу ниже), которые не должны записываться в приемник. Если настройка не указана, то никакие события не исключаются. Если настройка указана вместе с include, то сначала список событий определяется настройкой include, а потом из него исключаются события, указанные в exclude. Рекомендуется не использовать совместно обе настройки include и exclude, а применять только что-то одно;

  • logger – необязательная настройка – указывается только для приемника с типом log. Позволяет определить имя логгера. Если настройка не задана, то запись производится в логгер с именем AUDIT;

  • name – необязательная настройка – указывается для приемников с типами log и kafka. Указывает имя приемника, так как для этих типов приемников можно настроить несколько приемников. Если настройка не задана, то используются log и kafka в качестве имен приемников;

  • bootstrapServers – обязательная настройка для приемника с типом kafka – указывается список адресов для первоначального подключения к кластеру Kafka;

  • topic – обязательная настройка для приемника с типом kafka – название топика Kafka, в который должно отправляться событие;

  • securityProtocol – необязательная настройка для приемника с типом kafka – в случае использования подключения по SASL может не указываться. При подключении по SSL в настройке должно быть указано значение SSL. Если в Kafka не настроен TLS, укажите значение SASL_PLAINTEXT;

  • sasl – необязательный блок настроек для приемника с типом kafka – задает параметры подключения при использовании SASL-аутентификации для подключения к Kafka:

    • jaasConfig – строка подключения, в которой можно использовать параметры подстановки из secureParams;

    • mechanism – значение PLAIN;

    • secureParams – блок с параметрами, которые будут зашифрованы в конфигурационном файле при запуске сервера.

  Пример блока:

  "sasl": {
      "jaasConfig": "org.apache.kafka.common.security.plain.PlainLoginModule required username=\"alice\" password=\"${pswd}\";",
      "mechanism": "PLAIN",
      "secureParams": {
          "pswd": "Содержимое зашифруется при запуске",
      }
  }
  

  • ssl – необязательный блок настроек для приемника с типом kafka – задает параметры SSL для подключения к Kafka:

    • enabledProtocols – строки со списком включенных протоколов;

    • keyStore – блок настроек с параметрами доступа к ключевому контейнеру Blitz Identity Provider. Содержит настройки type, path, password;

    • trustedStore – блок настроек с параметрами доступа к контейнеру с доверенными сертификатами. Содержит настройки type, path, password;

    • keyPassword – необязательная настройка – пароль для доступа к ключу.

  Пример блока:

  "securityProtocol" : "SSL",
  "ssl" : {
      "enabledProtocols" : ["TLSv1.2,TLSv1.3"],
      "keyStore" : {
          "password" : "CHANGE-ME",
          "path" : "/etc/blitz-config/bip-d1app01-1.jks",
          "type" : "JKS"
      },
      "trustedStore" : {
          "password" : "CHANGE-ME",
          "path" : "/etc/blitz-config/ca.jks",
          "type" : "JKS"
      },
      "keyPassword": "CHANGE-ME"
  },
  

  • tuning – необязательный блок настроек для приемника с типом kafka – задает опциональные настройки producer для взаимодействия с Kafka. Имена параметров необходимо указывать с точкой как в документации Kafka.

  Пример блока:

  "tuning": {
      "client.id": "BlitzKafka"
  }
  

  • emitAtLeastOneOf – необязательная настройка – указывается список приемников, достаточно записи событий в любой из которых, чтобы операция считалась успешной;

  • emitToAllOf – необязательная настройка – указывается список приемников, по которым обязательно должно быть получено подтверждение успешной записи события, чтобы операция считалась успешной. Если настройки emitAtLeastOneOf и emitToAllOf не заданы, то обязательно подтверждение от всех настроенных приемников;

  • emitTimeoutInSec – необязательная настройка – определяет максимальное время отклика от приемника в ответ на запроса записи события. Если настройка не задана, то ожидание 60 секунд.

  Пример настроек записи аудита одновременно в лог, в СУБД и в Kafka:

  "audit": {
      "emitters": [
          {
              "type": "log",
              "name": "users-log",
              "enabled": true,
              "logger": "AUDIT",
              "exclude": ["admin_added", "admin_pswd_changed", "admin_removed", "admin_roles_changed",
                          "config_changed"]
          },
          {
              "type": "log",
              "name": "admins-log",
              "enabled": true,
              "logger": "AUDITADMIN",
              "include": ["admin_added", "admin_pswd_changed", "admin_removed", "admin_roles_changed",
                          "config_changed"]
          },
          {
              "type": "audit-store",
              "enabled": true
          },
          {
              "type" : "kafka",
              "enabled": true,
              "name" : "kafka",
              "include": ["login"],
              "bootstrapServers" : ["infra-kfk01:9443"],
              "topic" : "blitz_audit",
              "securityProtocol" : "SSL",
              "ssl" : {
                  "enabledProtocols" : ["TLSv1.2,TLSv1.3"],
                  "keyStore" : {
                      "password" : "CHANGE-ME",
                      "path" : "/etc/blitz-config/bip-app01.jks",
                      "type" : "JKS"
                  },
                  "trustedStore" : {
                      "password" : "CHANGE-ME",
                      "path" : "/etc/blitz-config/ca.jks",
                      "type" : "JKS"
                  }
              },
          }
      ],
      "emitAtLeastOneOf": ["users-log","admins-log","kafka"],
      "emitToAllOf": ["audit-store"],
      "emitTimeoutInSec": 30
  }
  

При регистрации аудита в лог можно настроить логгер с помощью файла конфигурации logback.xml (см. подробнее). Пример настройки логгера AUDIT в файле конфигурации logback.xml:

…
    <appender name="AUDIT" class="ch.qos.logback.core.rolling.RollingFileAppender">
        <file>${dir.logs}/audit-${app.name}.log</file>
        <encoder>
            <pattern>%date - [%level] -[%file:%line] - %message%n%xException{20}</pattern>
        </encoder>
        <rollingPolicy class="ch.qos.logback.core.rolling.TimeBasedRollingPolicy">
            <fileNamePattern>${dir.logs}/archive/audit-${app.name}.%d{yyyy-MM-dd}.log.gz</fileNamePattern>
            <maxHistory>90</maxHistory>
            <totalSizeCap>5GB</totalSizeCap>
        </rollingPolicy>
    </appender>

    <logger name="AUDIT" additivity="false">
        <appender-ref ref="AUDIT" />
    </logger>
…

Пример записи в логе:

2023-11-20 13:29:47,170 - [INFO] -[LoggerEventEmitterDriver.scala:37] - {"ip_st":"Tashkent","ip":"213.230.116.179","authnDone":"true","process_id":"b80ca03e-4718-44ff-9456-7d4255610eaa","ip_ctr":"Узбекистан","type":"login","object_id":"BIP-123456","protocol":"oAuth","subject_id":"BIP-123456","auth_methods":"cls:password","session_id":"f8d85ba2-a26a-447f-b82e-944b9218abb8","timestamp":1700476187069,"ch_platform_version":"\"14.1.0\"","ch_platform":"\"macOS\"","ip_ct":"Tashkent","id_store":"ldap01","ip_lng":"69.2494","ip_rad":"5","ch_ua":"\"Google Chrome\";v=\"119\", \"Chromium\";v=\"119\", \"Not?A_Brand\";v=\"24\"","user_agent":"Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/119.0.0.0 Safari/537.36","lp_id":"test-system","id":"6056828858453673-600312119","ip_lat":"41.3171","client_auth_method":"redirectUri"}

Возможные типы событий безопасности:

• admin_added – добавлен администратор

• admin_pswd_changed – изменен пароль администратора

• admin_removed – удален администратор

• admin_roles_changed – изменены роли администратора

• app_password_changed – задан пароль для приложения

• attribute_changed – добавлен, изменен или удален атрибут

• attribute_confirmed – атрибут подтвержден

• auth – выполнена аутентификация (при OAuth 2.0 Resource Owner Password Credentials)

• auth_failed – ошибка аутентификации

• auth_req – запрос на аутентификацию

• authz_granted – выдано OAuth-разрешение

• authz_rejected – отказано в выдаче OAuth-разрешения

• authz_revoked – отозвано OAuth-разрешение

• bind_ext_account – учетная запись привязана к внешней

• config_changed – изменены настройки конфигурации

• grant_right – назначение прав доступа

• group_attr_changed – у группы пользователей изменен или удален атрибут

• group_registered – группа пользователей создана

• group_removed – группа пользователей удалена

• hotp_attached – привязан HOTP-генератор

• hotp_detached – отвязан HOTP-генератор

• internal_user_deleted – учетная запись удалена

• locked_methods_changed – изменен список заблокированных методов аутентификации

• login – выполнен вход

• login_failed – ошибка входа

• login_stopped – неуспешный вход

• logout – выполнен выход

• logout_req – запрос на выход

• member_added – пользователь включен в группу пользователей

• member_removed – пользователь исключен из группы пользователей

• need_password_change – установлен признак необходимости смены пароля

• recovery – доступ к учетной записи восстановлен

• recovery_fail – восстановление доступа не выполнено

• recovery_req – выполнен запрос на восстановление доступа

• registration – учетная запись зарегистрирована

• registration_req – выполнен запрос на регистрацию

• required_factor_changed – изменен режим аутентификации пользователя

• reset_user_password – пароль установлен администратором

• reset_user_sessions – выход с устройств (сброс сессий)

• revoke_right – отзыв прав доступа

• send_email_code – код подтверждения отправлен на email

• send_push_code – код подтверждения отправлен в Push

• send_sms_code – код подтверждения отправлен по SMS

• token_exchange_failed – отказано в обмене маркера доступа

• token_exchanged – произведен обмен маркера доступа

• token_granted – выдан маркер доступа

• totp_attached – привязан TOTP-генератор

• totp_detached – отвязан TOTP-генератор

• unbind_ext_account – учетная запись отвязана от внешней

• user_locked – учетная запись заблокирована

• user_password_changed – изменен пароль пользователя

• user_sec_qsn_changed – изменен контрольный вопрос

• user_sec_qsn_removed – удален контрольный вопрос

• user_unlocked – учетная запись разблокирована

• web_authn_reg_key – добавлен ключ безопасности

• web_authn_revoke_key – удален ключ безопасности

Набор атрибутов записи может отличаться в зависимости от типа события безопасности и особенностей процесса входа. Назначения атрибутов в записи аудита приведены в таблице:

Назначение атрибутов в записи аудита

Атрибут	Назначение и возможные значения
id	Идентификатор записи о событии безопасности
type	Тип события безопасности
alt_pswd_cause	Причина, по которой пользователя просили сменить пароль. Возможные значения: password_expired – пароль просрочен password_reset – пароль нужно сменить при первом входе password_policy_violated – пароль не соответствует парольной политике
attr_name	Имя установленного, удаленного или измененного атрибута
auth_methods	Содержит список пройденных пользователем методов аутентификации. Возможные значения: password – парольная аутентификация spnego – вход с помощью сеанса ОС x.509 – вход с помощью средства электронной подписи qrCode – вход по QR-коду tls – вход с помощью HTTP-заголовков прокси-сервера webAuthn – вход или подтверждение входа с помощью ключей безопасности css – автоматический вход по результатам регистрации пользователя или восстановления пароля sms – одноразовый пароль по SMS email – одноразовый пароль по email hotp – второй фактор аутентификации с помощью аппаратного брелока totp – второй фактор аутентификации с помощью программного TOTP-генератора кодов подтверждения externalIdps:<type>:<name> – вход с помощью внешнего поставщика идентификации (соцсети и пр.) userApp – вторичная аутентификация в мобильном приложении outside_%NAME% – внешний метод входа с именем %NAME% Наличие перед методом префикса cls: означает, что вход был выполнен с помощью долгосрочной сессии, а ранее при первичном входе использовались те методы входа, что перечислены после cls:
auth_soft_id	Приложение-аутентификатор (при входе по QR-коду)
authnDone	Проводилась ли аутентификация при этом входе
captcha_passed	Признак, что при входе спрашивалась CAPTCHA
client_auth_method	Способ аутентификации вызвавшего Blitz Identity Provider приложения: internal – для событий, вызванных внутренними приложениями Blitz Identity Provider x.509 – для событий, вызванных SAML-приложениями, при условии, что SAML-запрос пришел подписанным Basic – для приложений, вызывающих REST-сервисы, использующие Basic-авторизацию redirectUri – для приложений, которые идентифицировали себя в URL (например, указали свой client_id в URL-параметре), но чья аутентификация не проводилась (достоверно не известно, что это действительно вызывает Blitz Identity Provider именно это приложение) Bearer – использование access_token для аутентификации мобильным приложением с динамическими client_id/client_secret
dcId	Динамический client_id
device	ID устройства
deviceFingerprint	Отпечаток устройства
dTyp	Тип устройства (при динамической регистрации)
email	Адрес электронной почты
entry_point	Тип интерфейса, использованного для регистрации пользователя: WEB – при регистрации из веб-приложения Blitz Identity Provider, REST – при регистрации через REST-сервисы Blitz Identity Provider.
error	Ошибка (при неуспешных событиях)
ext_account_id	Идентификатор внешней учетной записи
ext_account_name	Имя внешнего поставщика идентификации
ext_account_type	Тип внешнего поставщика идентификации
failed_method	Указывает, какой метод аутентификации не смог пройти пользователь
group_id	Идентификатор группы пользователей
group_profile	Идентификатор профиля использования групп пользователей
id_store	Хранилище учетной записи
ip	IP адрес пользователя
ip_ctr	Страна по IP адресу
ip_st	Регион по IP адресу
ip_ct	Город по IP адресу
ip_lat	Широта по IP адресу
ip_lng	Долгота по IP адресу
ip_rad	Окрестность по IP адресу
lp_id	Идентификатор приложения (EntityId для SAML или client_id для OIDC), вызвавшего Blitz Identity Provider.
mobile	Номер мобильного телефона
module	Идентификатор измененного блока настроек
new_attr_value	Новое значение установленного или измененного атрибута
new_factor	Новое значение признака, указывающего на необходимость проверки второго фактора аутентификации
new_roles	Роли, добавленные учетной записи администратора
oauth_scopes	Список разрешений, которые выдал или отозвал пользователь
object_id	Идентификатор объекта операции (пользователь, по которому выполнялась операция)
old_attr_value	Прежнее значение удаленного или измененного атрибута
old_factor	Прежнее значение признака, указывающего на необходимость проверки второго фактора аутентификации
old_roles	Роли, отозванные у учетной записи администратора
origin_app	Идентификатор приложения, инициировавшего регистрацию пользователя или восстановление пароля
process_id	Идентификатор процесса
protocol	Протокол взаимодействия приложения с Blitz Identity Provider. Возможные значения: SAML – для SAML и WS-Federation OAuth – для OpenID Connect и OAuth 2.0 simple – для прокси-аутентификации– internal – для входа в Личный кабинет (_blitz_profile)
pswd_changed	Признак, что рекомендовалась смена пароля
pswd_tmp_locked	Признак, что была временная блокировка
recovery_contact	Указанный при восстановлении контакт (email или номер мобильного телефона)
recovery_type	Тип восстановления пароля: email или mobile
right_name	Название права доступа
roles	Роли учетной записи администратора
session_id	Уникальный идентификатор сессии пользователя. Позволяет коррелировать все события пользователя, выполненные им в рамках общей пользовательской сессии
subject_id	Идентификатор субъекта операции (пользователь, который вызвал операцию)
tags	Метка назначенного или отозванного права доступа
timestamp	Дата и время события. Например, 2022-11-04T17:49:58.384+0300
tried_old_pswd	Признак того, что была попытка входа с паролем из сохраненной истории паролей (предыдущим паролем)
used_login	Логин, использованный при входе
user_agent	Данные о пользовательском устройстве (UserAgent)
wa_key_id	Идентификатор ключа безопасности
wa_key_name	Имя ключа безопасности
withDelay	Включалась задержка при входе