Auf der Seite /audit-log findest du eine unveränderliche Aufzeichnung aller relevanten Aktionen, die an den Ressourcen deines Accounts durchgeführt wurden.
Was wird geloggt
Der Audit-Log erfasst die folgenden schreibenden und veröffentlichenden Aktionen:
- Regeln: Erstellen, Bearbeiten (Entwurf), Veröffentlichen, Archivieren, Entarchivieren.
- Profile: Erstellen, Entwurf anlegen, Veröffentlichen, Archivieren, Entarchivieren.
- Spec-Jobs: Einreihen (mit der verwendeten Engine-Version) und Abbrechen.
- API-Keys: Anlegen, Widerrufen.
- Geräte: Eine Browser-Anmeldung bestätigen, eine ablehnen und das Abholen des Tokens durch das Gerät. Bestätigung und Ablehnung sind über den Anmeldecode statt über einen Namen benannt und halten den Gerätenamen sowie die Adresse fest, von der die Anmeldung angefordert wurde. Der Widerruf eines Geräts erscheint als Widerruf eines API-Keys, benannt über den Gerätenamen. Siehe Autorisierte Geräte.
- Engine-Versionen: Registrieren, Als-veraltet-Markieren und Stilllegen von Engine-Versionen auf der Plattform.
Jeder Eintrag enthält:
| Spalte | Bedeutung |
|---|---|
| Zeitpunkt | UTC-Zeitstempel (minutengenau); der Tooltip beim Überfahren zeigt einen sekundengenauen Zeitstempel mit Zeitzonen-Offset. |
| Akteur | Nutzer-ID oder API-Key: <Name>, wenn ein API-Key verwendet wurde. |
| Aktion | Technischer Aktionsname (z. B. RuleCreated, ProfilePublished). |
| Entität | Betroffene Ressource mit Link zur Detailseite, sofern vorhanden. |
| Engine-Version | Verwendete Engine, falls zutreffend (Spec-Jobs). |
| Details | Vollständiges Payload als JSON (auf "Anzeigen" klicken). |
Filtern und Zeitraum
Die Filterleiste oben schränkt die Ansicht ein:
- Von / Bis: UTC-Datumsbereich. Standard: letzte 30 Tage; findet eine Suche in diesem Fenster nichts, bietet der leere Zustand einen Klick an, der alle Filter zurücksetzt und die gesamte Historie zeigt.
- Entitätstyp: beschränkt auf Regel, Profil, API-Key, Spec-Job oder Engine-Version.
- Aktion: filtert auf einen bestimmten Aktionstyp.
- Slug: exakter Treffer auf den Entitäts-Slug.
Nach jeder Änderung Anwenden wählen, damit die Tabelle neu lädt. Die Tabelle zeigt 100 Einträge pro Seite; mit Zurück / Weiter unterhalb der Tabelle lässt sich blättern.
CSV-Export für externe Tools
Mit CSV exportieren (oben rechts) lädst du alle passenden Einträge als CSV-Datei herunter. Der Export verwendet dieselben Filter wie die aktuell angezeigte Ansicht und ist auf 100 000 Zeilen begrenzt.
Spalten im CSV: occurredAt, actor, entityType, entitySlug,
entityVersion, action, engineVersion, clientIp, payload.
Typische Weiterverarbeitung:
- Excel / Google Sheets: Datei öffnen, Spalte
occurredAtals Datum formatieren. - SIEM / Splunk: CSV als Datenquelle einbinden und auf
actionoderactoralarmieren.
Hinweis: Der Audit-Log und sein CSV-Export sind nur aus einer eingeloggten Browser-Sitzung erreichbar. API-Keys können den Audit-Log nicht lesen, der Export lässt sich daher nicht per API-Key automatisieren.
Aufbewahrung
Audit-Einträge werden 24 Monate lang aufbewahrt. Danach werden sie automatisch gelöscht. Exportiere Einträge, die du länger benötigst, rechtzeitig.
Häufige Forensik-Szenarien
Warum ist mein Build seit gestern strenger?
- Setze den Datumsbereich auf gestern.
- Wähle Entitätstyp = Profil und Aktion = ProfilePublished.
- Wähle den Profil-Slug in der Entitäts-Spalte, um die neue Profilversion zu öffnen und die geänderten Regeln oder Schweregrad-Overrides zu sehen.
Alternativ: Entitätstyp = Regel, Aktion = RulePublished zeigt alle Regeln, die gestern eine neue Version erhalten haben.
Wer hat veröffentlicht?
- Filtere auf Aktion = ProfilePublished oder RulePublished.
- Die Spalte Akteur zeigt die Nutzer-ID oder den API-Key-Namen, die bzw. der die Veröffentlichung ausgelöst hat.
Wann wurde ein API-Key erstellt oder widerrufen?
- Wähle Entitätstyp = API-Key.
- Setze den Zeitraum auf den vermuteten Zeitraum.
- Die Aktionen
ApiKeyCreatedundApiKeyRevokedzeigen den genauen Zeitpunkt und den handelnden Nutzer.
Welche Spec-Jobs hat die Engine X ausgeführt?
- Wähle Entitätstyp = Spec-Job.
- Trage im Slug-Feld den Regel-Slug ein, dessen Jobs dich interessieren.
- Die Spalte Engine-Version zeigt, welche Engine-Version jeweils verwendet wurde.