Audit Trail: Amallary yzarlamak

1) Audit trail näme we näme üçin zerur?

Audit trail - ulgamlar we maglumatlar bilen amallar barada subut edilip bilinjek wakalar zynjyry: kim, näme, nirede, haçan we haýsy usul bilen, haýsy netije bilen we haýsy haýyş/bilet esasynda amala aşyryldy.

• Düzgünleşdirijiler we auditorlar üçin subutnamalar (evidence).
• Derňew we jogap (wakalaryň wagty, root cause).
• Syýasatyň ýerine ýetirilendigini tassyklamak (SoD, retensiýa, aýyrmak/anonimleşdirmek).
• Üçünji taraplara we kömekçi prosessorlara gözegçilik etmek.

2) Gurşaw meýdany (iň az toplum)

Şahsyýet we elýeterlilik (IAM/IGA): giriş/giriş, rollary bermek/yzyna almak, artykmaçlyklary güýçlendirmek, JIT-elýeterlilik.
Maglumatlar we gizlinlik: PI meýdanlaryny okamak/üýtgetmek, düşürmek, gizlemek, aýyrmak/TTL, Legal Hold.
Maliýe/geleşikler: döretmek/täzelenmek/ýatyrmak, çäklendirmeler, reversallar, antifrod hereketleri.
Infrastruktura/bulut: konfigurasiýalary üýtgetmek, syrlar, açarlar, KMS/HSM amallary.
SDLC/DevSecOps: ýygnamak, deploy, laýyklyk geýtleri, kitaphanalary çekmek (SCA), sır-skan.
Amallar/ITSM: hadysalar, üýtgeşmeler, çykarmalar, güýçlenmeler, DR/BCP synaglary.
Webhuklar/3rd-party: gelýän/çykýan jaňlar, gol, tassyklama netijeleri.

3) Wakanyň modeli (kanoniki format)

json
{
"ts": "2025-11-01T11:23:45.678Z",
"env": "prod",
"tenant": "eu-1",
"system": "iam",
"domain": "access",
"actor": {"type":"user","id":"u_123","source":"sso","ip":"0.0.0.0"},
"subject": {"type":"role","id":"finance_approver"},
"action": "grant",
"reason": "ITSM-12345",
"result": "success",
"severity": "info",
"labels": {"jurisdiction":"EEA","pii":"no","sod_check":"passed"},
"trace": {"request_id":"r_abc","trace_id":"t_456","span_id":"s_789"},
"integrity": {"batch":"b_20251101_11","merkle_leaf":"..."}
}

Hökmany meýdanlar: 'ts, actor, action, subject, result'.
Maslahat berilýän: 'reason (bilet/buýruk), trace_id/request_id, tenant, jurisdiction'.

4) Hil we semantika ýörelgeleri

Berk gurluş: diňe JSON/OTel; hereketleriň meýdanlarynyň we kodlarynyň bitewi sözlügi.
Wagt senkronizasiýasy: NTP/PTP, saklamak 'ts' we 'received _ at'.

Baglanyşyk: 'trace _ id '/' request _ id'

Ýazgylaryň idempotentligi: batçalaryň determinirlenen açarlary, dubllardan goramak.
Aktorlaryň kadalaşmagy: adam/hyzmat/bot/autentifikasiýa çeşmesi bolan satyjy.

5) Audit trail arhitekturasy

1. Producers: programmalar, platformalar, bulutlar, hostyň agentleri.
2. Kollektorlar/tekerler: ygtybarly eltip bermek (TLS/mTLS, retra, back-pressure, dedup).
3. Baýlaşdyrmak/kadalaşmak: ýeke-täk shemalar, rollaryň/ýurisdiksiýalaryň mappingi.

• Gyzgyn (gözleg/seljeriş) - 30-90 gün.
• Sowuk (obýekt/arhiw) - kadalara baglylykda 1-7 ýyl.
• WORM/Object Lock - subutnama üýtgewsizligi.
• 5. Bitewilik: batçalaryň, heşleriň zynjyrlarynyň goly, gündelik ankering (körli-kökler).
• 6. Giriş: RBAC/ABAC, case-based access.
• 7. Analitika/alertler: SIEM/SOAR, korrelýasiýa, özüni alyp baryş düzgünleri.
• 8. Wakalaryň katalogy: shemalaryň wersiýasy, hereketleriň gollanmasy, CI-de shemalaryň synaglary.

6) Üýtgemezligi we kanuny ähmiýeti

WORM/Object Lock: Retensiýa möhletini aýyrmagy/täzeden ýazmagy gadagan edýär.
Kriptografik fiksasiýa: SHA-256 baglary, molli agaçlary, daşarky ankering (meýilnama boýunça).
Chain of Custody: log girişi (kim we haçan okady/eksport etdi), hasabatlardaky heşleriň kwitansiýalary.
Yzygiderli barlamak: bitewiligi barlamagyň wezipeleri; sinhronizasiýa wagtynda alert.

7) Gizlinlik we minimallaşdyrmak

PI-ni minimallaşdyryň: heşleri/bellikleri ýazga alyň, meýdanlary gizläň (email/phone/IP).
Kontekst mazmunyň ýerine: "amal faktyny" ýazyň, doly däl.
Ýurisdiksiýalar we serhetler: ýurt boýunça saklamak (data residency), serhetaşa geçirmek üçin bellikler.
DSAR we depersonalizasiýa: çalt gözlemek üçin bellikler, gizlemek bilen eksport.

8) Giriş dolandyryşy (kim audit trail görýär)

RBAC/ABAC: analitik iň az görýär; eksport diňe haýyşnama/keýs boýunça.
Case-based access: derňew/audit → magazineurnallamak bilen wagtlaýyn giriş.
Segregation of Duties: ulgamlaryň ýolbaşçylaryna öz yzlaryny dolandyrmagy gadagan etmek.
Aýlyk attestasiýa: okamak/eksport hukugynyň re-certification.

9) Retence, Legal Hold we aýyrmak

Saklamak grafikleri: domenler we kadalar boýunça (mysal üçin, elýeterlilik - 1 ýyl, maliýe amallary - 5-7 ýyl).
Legal Hold: degişli wakalary derrew doňdurmak, TTL-den ileri tutmak.
Öçürilendigini tassyklamak: öçürilen partiýalaryň heş-hasabaty bilen hasabat.
3rd-party üçin ahyrky retensiýa: saklamak/girmek/aýyrmak üçin şertnamalaýyn SLA.

10) Daşbordlar we hasabatlar

Coverage: haýsy ulgamlar/ýurisdiksiýalar örtülendir; boşluklar.
Integrity/WORM: ankering we bitewiligi barlamak ýagdaýy.
Access to Audit Trail: kim görýär/näme eksport edýär; anomaliýalar.
Change & Admin Activity: duýgur hereketler (artykmaçlyklar, açarlar, syrlar).
Privacy Lens: PI, DSAR/Silme, Legal Hold.
Compliance View: auditlere/soraglara "düwme boýunça" taýynlyk.

11) Metrikler we SLO

Ingestion Lag p95 ≤ 60 sek.
Drop Rate = 0 (alert> 0. 001%).
Schema Compliance ≥ 99. 5%.
Integrity Pass = 100% barlamak.
Coverage Critical Systems ≥ 98%.
Access Review SLA: Her aýda şahadatnamalaryň 100% -i.
PII Leak Rate: 0 möhüm audit trail.

12) SOP (standart amallar)

SOP-1: Çeşme birikdirildi

1. Çeşmäni we kritikligi hasaba almak → 2) Shemany saýlamak/OTel → 3) TLS/mTLS, açarlar → 4) dry-run (shemalary/maskalary tassyklamak) → 5) goýbermek → 6) kataloglara we dashbordlara goşulmak.

SOP-2: Kadalaşdyryjy haýyşa jogap/audit

Kazyýet açyň → obýektler/döwür boýunça wakalary süzüň → heş-kwitansiýa bilen eksport → legal review → resmi kanal arkaly ibermek → WORM-de arhiwlemek.

SOP-3: Waka (DFIR)

Freeze (Legal Hold) → trace_id boýunça wagt aralygy → artefaktlary (esasy hereketleri) çykarmak → subutnamalar bilen hasabat → CAPA we deteksiýalary täzelemek.

SOP-4: TTL boýunça aýyrmak

Aýyrmaga taýyn batçalary kesgitläň → Ýok bolan Legal Hold-lary barlaň → Aýyrmak hasabatyny heş gysgaça düzüň.

13) Düzgünleriň/haýyşlaryň mysallary

Artykmaçlyklaryň möhüm ýokarlanmagyny gözlemek (SQL-psevdo)

sql
SELECT ts, actor.id, subject.id
FROM audit_events
WHERE domain='access' AND action='grant'
AND subject.id IN ('admin','db_root','kms_manager')
AND reason NOT LIKE 'ITSM-%'
AND ts BETWEEN @from AND @to;

SoD düzgüni (psevdo-Rego)

rego deny_if_sod_conflict {
input.domain == "access"
input.action == "grant"
input.subject.id == "payment_approver"
has_role(input.actor.id, "payment_creator")
}

DSAR amallaryna süzgüç (JSONPath)

$.events[?(@.domain=='privacy' && @.action in ['dsar_open','dsar_close','delete'])]

14) Standartlara (görkezmelere) mepping

GDPR (Art. 5, 30, 32, 33, 34): minimallaşdyrmak, hereketleriň hasaplary, gaýtadan işlemegiň howpsuzlygy, waka-habarnamalar; DSAR/Silmek/Legal Hold.
ISO/IEC 27001/27701: A.12/A. 18 - žurnallaşdyrmak, subutnamalary dolandyrmak, gizlinlik.
SOC 2 (CC6/CC7/CC8): giriş gözegçiligi, gözegçilik, hadysalary gaýtadan işlemek, ýazgylaryň bitewiligi.
PCI DSS (10. x): kartlaryň we ulgamlaryň maglumatlarynyň üstünde hereketleriň yzarlanylyşy, gündelik syn, magazinesurnallaryň bitewiligi.

15) Beýleki funksiýalar bilen integrasiýa

Compliance-as-Code/CCM: syýasatçylaryň synaglary ýerine ýetirilýär we teswirnama düzülýär; alertler - gyşarmalar üçin.
RBA (töwekgelçilik-audit): audit trail maglumatlary boýunça saýlawlar we özgertmeler.
Vendor Risk: şertnamalarda auditiň we eksportyň hukuklary; potratçylaryň aýna retensiýasy.
Policy Lifecycle: talaplary üýtgetmek → täze düzgünleriň we shemalaryň meýdanlarynyň awtogenerasiýasy.

16) Antipatternler

"Erkin tekst" shemasyz we semantikasyz.
Wakany bilet/esas bilen baglanyşdyryp bilmezlik (reason).
"Hemmeler üçin" keýssiz we okamasyz giriş.
WORM/goluň ýoklugy - subutnamalaryň jedelli bolmagy.
Wagt zolaklarynyň garyşmagy we bölünişik 'ts '/' received _ at'.
Heş/maskalaryň ýerine "doly" PI/syrlary ýazmak.

17) Kämillik modeli (M0-M4)

M0 El bilen: bölünen loglar, doly däl gurşaw, retensiýa ýok.
M1 Merkezleşdirilen ýygym: esasy gözleg, ýeke-täk format bölekleýin.
M2 Dolandyrylýan: wakalar katalogy, kod, retensiýa/Legal Hold, RBAC ýaly shemalar.
M3 Assured: WORM+анкеринг, case-based access, KPI/SLO, auto-evidence.
M4 Continuous Assurance: "düwme boýunça audit-ready".

18) Baglanyşykly wiki maddalary

Žurnallary we teswirnamalary ýöretmek

Yzygiderli laýyklyk gözegçiligi (CCM)

KPI we laýyklyk metrikleri

Kanuny Hold we maglumatlary doňdurmak

Syýasatlaryň we proseduralaryň durmuş sikli

Ylalaşyk çözgütleriniň aragatnaşygy

Laýyklyk syýasatynda üýtgeşmeleri dolandyrmak

Due Diligence we daşarky töwekgelçilikler

Jemi

Güýçli audit trail - bu anyk elýeterli "case", ahyrky yzarlama we dolandyrylýan retensiýa bilen gurluş, üýtgewsiz we kontekstli wakalar. Şeýle ulgam derňewleri çaltlaşdyrýar, barlaglary öňünden aýdyp bolýar we barlagy köpeldilýän, ölçelýän prosese öwürýär.