감사 트레일 및 액세스 트레일
1) 목적과 범위
목적: 사용자/서비스 조치의 가능성, 조사의 투명성, 규제 요구 사항 준수 및 내부 표준 (GDPR/AML, 해당되는 경우 PSP/KYC 제공 업체, ISO/PCI와 계약) 을 보장합니다.
적용 범위: 모든 생산 시스템, 플랫폼 서비스 (계정, 결제, 사기 방지, CUS/제재, RG), 관리자 패널, API 게이트웨이, DWH/BI, 인프라 (K8/클라우드), 공급 업체와의 통합.
2) 기록 할 내용 (이벤트 클래스)
1. 식별 및 액세스: 로그인/로그아웃, MFA, 비밀번호/키 변경, SSO, "브레이크 글래스" 액세스.
2. 행정 조치: 역할/권리 변경, 구성, 사기 방지/제재 규칙, 기능 플래그.
3. PII/재무 데이터를 사용한 작업: 읽기/내보내기/삭제, 업로드, KYC 액세스, VIP 프로필 보기.
4. 거래 및 돈: 현금 인출/예금, 취소, 반품, 청구 회수 결정.
5. 준수/AML/KYC: 선별 결과 (제재/PEP/Adverse Media), 결정 (TP/FP), EDD/STR/SAR.
6. 사고 및 보안: 에스컬레이션, WAF/IDS 규칙 변경, 서비스 격리, 비밀 교체.
7. 통합/공급 업체: API 통화, 오류, 타임 아웃, 내보내기, 데이터 삭제/반품 확인.
3) 필수 이벤트 필드 (최소)
'이벤트 _ id' (UUI), 'ts _ utc', 'ts _ local', 'source _ service', 'trace _ id '/' span _ id'
'actor _ style' (사용자/서비스/공급 업체), 'actor _ id' (강력한 식별자), 'actor _ org' (B2B 인 경우)
(PHP 3 = 3.0.6, PHP 4)
'작업' (예: 'READ _ PII', 'EXPORT _ DATA', 'ROLE _ Updates', 'WITHD DRAWAL _ APPROVE')
'결과' (성공/거부/오류), '이유 '/' 오류 _ 코드'
'p', '장치 _ 지문', 'geo' (국가/지역), '자체 _ 컨텍스트' (MFA/SSO)
'fields _ Access '/' scope' (PII/재무 데이터로 작업 할 때) -마스킹
'목적 '/' 티켓 _ id' (이유: DSAR, 사고, 규제 요청, 운영 작업)
4) 불변성 및 가능성
"골든" 사본을위한 WORM 스토리지 (불변의 버킷/보존 정책).
크립토 시그니처/해시 체인: 정기적으로 이벤트 배치에 서명하거나 수정을 식별하기 위해 해시 체인 (해시 체인) 을 구축합니다.
체계/규칙 변경 기록: 버전 설정 체계 및 로깅 정책; 모든 편집은 CAB를 거칩니다.
듀얼 루프 스토리지: 온라인 인덱스 (검색) + 아카이브/불변성.
5) 시간 동기화 및 추적
모든 환경에서 단일 NTP/크로니; 로그에서 진실의 원천으로 'ts _ utc'.
요청의 종단 간 추적 (서비스, 공급 업체 및 전면 간의 상관 관계) 을위한 각 로그- 'trace _ id '/' span _ id'.
6) 개인 정보 보호 및 비밀
금지: 암호, 토큰, 전체 PAN/CSC, 전체 문서 번호, 원시 생체 인식.
기본 마스킹: 전자 메일/전화/IBAN/PAN → 토큰/부분 표시.
앨리어싱: 'user _ id' → 분석에서 안정적인 토큰; 보호 된 루프에서만 실제 ID에 바인딩합니다.
DSAR 호환성: 외부 PII를 드러내지 않고 대상별로 로그를 선택적으로 추출하는 기능.
7) 선반 수명과 수준 (보존)
8) 액세스 및 제어 (RBAC/ABAC)
감사 로그 읽기 역할은 관리 역할과 별개입니다.
이유를 자동 취소/로깅하는 MFA 및 Just-in-Time 액세스 (브레이크 글래스).
"최소" 정책: 필요할 때만 '목적' 고정을 통해 PII/금융 분야에 액세스하십시오.
수출/업로드: 목적지 및 형식의 흰색 목록; 필수 서명/해시, 로그 업로드.
9) SIEM/SOAR/ETL 통합
감사 이벤트 흐름은 상관 관계를 위해 SIEM으로 들어갑니다 (예: 새 장치의 'READ _ PII' + 입력).
SOAR 플레이 북: 정책 위반에 대한 자동 티켓 ('목적', 비정상적인 볼륨, 창 밖에서의 액세스 없음).
ETL/DWH: 품질 관리 및 스키마 버전이 포함 된 '감사 _ 액세스', 'pii _ 내보내기', '관리자 _ 변경' 창.
10) 데이터 품질 및 유효성 검사기
코드로서의 Schemas (JSON/Proto/Avro): 필요한 필드, 유형, 사전; CI 유효성 검사기.
스키마 오류가있는 이벤트에 대한 거부 및 검역 대기열; 스크랩 메트릭.
'(이벤트 _ id, trace _ id, ts)' 에 의한 중복 제거/idempotency; 재전송 제어.
11) RACI
12) SOP: 데이터 액세스 조사
1. 방아쇠: SIEM 경고 (비정상적인 'READ _ PII '/내보내기), 불만, 공급 업체의 신호.
2. 아티팩트 수집: 'actor _ id '/' tative _ id '/' trace _ id', 'pourse' 로그, 관련 로그 (WAF/IdP) 로 이벤트를 언로드합니다.
3. 합법성 검증: 재단의 존재 (DSAR/사건/서비스 작업), 조정, 액세스 창.
4. 영향 평가: PII 범위/범주, 관할 구역, 대상에 대한 위험.
5. 해결책: 사고 교량 (높은/중요한 경우), 격리 (액세스 취소, 키 회전).
6. 보고서 및 CAPA: 원인, 위반 정책, 조치 (마스킹, 교육, RBAC 변경), 마감일.
13) SOP: 데이터 수출 (규제 기관/파트너/DSAR)
1. DWH에 대한 기초 및 신원의 요청 → 검증 (DSAR) → 요청 생성.
2. 기본적으로 Depersonalization/최소화; 법적 근거에만 PII 포함.
3. 다운로드 생성 (CS/JSON/Parquet) → 서명/해시 → 다운로드 로그 (누가/무엇을/무엇을/이유로) 에 씁니다.
4. 승인 된 채널을 통한 전송 (s소/보안 링크); 정책 별 복사 기간.
5. 검사 후: 수령 확인, 임시 파일 삭제.
14) 지표 및 KRI/KPI
적용 범위: 감사 이벤트를 보내는 중요한 시스템의 비율은 95% 이상입니다.
DQ 오류: 유효성 검사기가 거부 한 이벤트 0입니다. 흐름의 5%.
유량 손실의 MTTD: 지정 15 분 (침묵시 경고).
'목적' 없이 비정상적인 액세스: = 0 (KRI).
조사 응답 시간: 중앙값 4 시간, P95 도 24 시간
서명/해시 수출: 100%.
보존: 시간에 삭제/아카이브 99% 이상.
15) 공급 업체 및 하위 프로세서 요구 사항
DPA/SLA: 감사 기록 (체계, 용어, 지리, 수출 형식), WORM/불변성, 사건 알림의 SLA 설명.
공급 업체 액세스: 명명 된 서비스 계정, 해당 작업 기록, 선택적 감사 가능성.
오프 보드: 주요 취소, 로그 내보내기/삭제, 마감 행위, 백업 파괴 확인.
16) 조작에 대한 안전 및 보호
역할 분리: 소스 관리자
에이전트/콜렉터 서명, 구성 요소 간 mTLS.
변조 방지 제어: 해시 비교, 정기적 인 무결성 점검, 불일치 경고.
WORM 사본의 지리 복제 및 정기적 인 복구 테스트.
17) 오류 및 패턴 방지
민감한 값 로깅 (PAN/비밀) → 수정 미들웨어의 즉각적인 포함.
PII에 액세스 할 때 '목적 '/' 티켓 _ id' 가 누락되었습니다.
로컬은 "데스크톱으로" 업로드하고 전자 메일로 보냅니다.
단일 체계의 부족과 검증 → 조용한 필드, 상관 관계가 불가능합니다.
개인이나 서비스에 묶이지 않는 단일 슈퍼 계정.
18) 점검표
18. 1 정책 출시/검토
- Schemas 및 사전이 승인되었습니다. 필요한 필드 포함
- 비밀에 대한 마스킹 및 금지가 활성화됩니다
- NTP는 어디에서나 'trace _ id' 로 구성되었습니다
- 뜨거운/따뜻한/차가운/WORM 레이어가 쌓여 있습니다
- RBAC/ABAC 및 브레이크 글래스가 설계되었습니다
- SIEM/SOAR 통합, 테스트 된 경고
18. 2 월간 감사
- 내보내기 선택: 서명/로그 수정
- 유지/삭제/법적 보류 확인
- DQ 메트릭 확인, 검역 분석
- 공급 업체 로그 사용 가능/전체
19) 구현 로드맵
1-2 주: 시스템 인벤토리, 체계 및 필수 필드 조정, 시간 및 추적 설정.
3-4 주: 마스킹, WORM 계층, SIEM/SOAR 통합, 내보내기 로그 실행 가능.
2 월: 유효성 검사기/경고 자동화, 조사 플레이 북, 팀 훈련.
3 개월 이상: 정기 감사, 무결성 스트레스 테스트, 계층, 공급 업체/계약 감사.
TL; DR
강력한 감사 추적 = 완전하고 구조화 된 이벤트 + 불변성 (WORM) 및 서명 + PII 마스킹 + 하드 액세스 및 업로드 로그 + SIEM/SOAR 통합. 이를 통해 조사 속도를 높이고 위험을 줄이며 규정 준수를 입증 할 수 있