Monitorowanie aktywności użytkowników

Monitorowanie aktywności użytkowników to rejestrowanie ich operacji w bazie na potrzeby audytu i wykrywania nadużyć.

Zakres rejestrowanych operacji i zdarzeń

Monitorowanie aktywności użytkowników polega na zapisywaniu informacji o działaniach wykonywanych w systemie, aplikacji albo bazie danych. Rejestrowane zdarzenie może obejmować między innymi zalogowanie i wylogowanie użytkownika, uruchomienie określonej funkcji, odczyt rekordu, utworzenie nowego wpisu, zmianę wartości lub usunięcie danych. W zależności od zastosowanego mechanizmu dziennik może przechowywać identyfikator konta, datę i czas operacji, nazwę aplikacji, adres urządzenia źródłowego oraz rezultat działania, na przykład powodzenie albo błąd autoryzacji.

W systemach bazodanowych istotne jest rozróżnienie pomiędzy samym dostępem do bazy a zmianą danych. Odczyt rekordu nie powoduje takiej samej zmiany stanu jak instrukcja modyfikująca tabelę, dlatego reguły audytu powinny określać, które typy operacji podlegają zapisowi. Można rejestrować wybrane tabele, kolumny, konta lub rodzaje poleceń, aby ograniczyć ilość danych w dzienniku. Przydatne jest także zapisywanie wartości przed zmianą i po zmianie, jeżeli mechanizm audytu obsługuje taką funkcję. Dzięki temu można ustalić nie tylko, że rekord został zmodyfikowany, lecz również jaki był zakres modyfikacji.

Dzienniki audytowe a wykrywanie nieprawidłowości

Dziennik aktywności tworzy chronologiczną historię zdarzeń, którą można analizować ręcznie albo przetwarzać automatycznie. Powtarzające się nieudane logowania, nagły dostęp do dużej liczby rekordów, operacje wykonywane poza typowym harmonogramem lub zmiana uprawnień konta mogą wskazywać na błąd konfiguracji, niewłaściwe użycie programu albo próbę obejścia kontroli dostępu. Sam wpis w dzienniku nie przesądza jeszcze o przyczynie zdarzenia. Stanowi dowód tego, co system zarejestrował, i wymaga zestawienia z konfiguracją kont, historią procesów oraz komunikatami aplikacji.

Wiarygodność audytu zależy od kompletności i spójności zapisów. Zdarzenia powinny mieć jednoznaczne znaczniki czasu, a zegary urządzeń uczestniczących w rejestrowaniu należy utrzymywać w możliwie zgodnej konfiguracji. Ważne jest również ograniczenie możliwości usuwania lub modyfikowania dziennika przez zwykłe konto użytkownika. Jeżeli logi są przechowywane wyłącznie na tym samym urządzeniu, awaria dysku, przepełnienie nośnika albo usunięcie pliku może pozbawić system dowodów. Z tego powodu rozwiązania audytowe często przewidują eksport do oddzielnego repozytorium, kontrolę rozmiaru plików oraz ustalony czas przechowywania.

Wpływ monitorowania na działanie komputera

Rejestrowanie aktywności wymaga wykonania dodatkowych operacji zapisu i może zwiększać obciążenie procesora, pamięci operacyjnej oraz nośnika danych. Skala wpływu zależy od liczby obserwowanych zdarzeń, szczegółowości wpisów, częstotliwości zapisu i sposobu przetwarzania logów. Audyt każdej operacji odczytu w intensywnie używanej aplikacji może wygenerować znacznie więcej danych niż rejestrowanie wyłącznie zmian konfiguracji lub nieudanych prób logowania. Przy projektowaniu monitoringu trzeba więc dobrać zakres obserwacji do celu diagnostycznego, zamiast zapisywać bez ograniczeń wszystkie dostępne komunikaty.

Problemy z monitorowaniem mogą objawiać się spowolnieniem aplikacji, szybkim zapełnianiem dysku, błędami zapisu dziennika albo okresowym blokowaniem operacji, gdy program wymaga potwierdzenia audytu przed wykonaniem zmiany. Na komputerze użytkownika warto sprawdzić, czy proces odpowiedzialny za logowanie działa, czy katalog dzienników jest dostępny i czy na dysku pozostaje wolne miejsce. Należy także odróżnić obciążenie powodowane przez samą aplikację od obciążenia generowanego przez skanowanie, indeksowanie lub synchronizację plików z logami. Analiza czasu wystąpienia spowolnienia i korelacja go z wpisami w dzienniku pomaga zawęzić przyczynę.

Diagnostyka komputera z włączonym audytem

Podczas diagnostyki należy najpierw ustalić, gdzie aplikacja zapisuje dzienniki i jaki format wykorzystuje. Mogą to być zwykłe pliki tekstowe, dzienniki systemowe albo dane przechowywane w tabelach pomocniczych. Następnie warto porównać czas wystąpienia zgłaszanego problemu z wpisami o logowaniu, błędach uprawnień, zerwaniu połączenia i nieudanych operacjach zapisu. Istotne jest zachowanie oryginalnych plików przed czyszczeniem lub rotacją, ponieważ usunięcie logów może przerwać ciąg zdarzeń potrzebny do odtworzenia przebiegu awarii.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i ich podzespołów, w tym diagnostykę problemów z działaniem oprogramowania oraz zapisem danych na nośniku. W przypadku nieprawidłowo działającego monitorowania sprawdzenia mogą obejmować stan dysku, dostępne miejsce, uprawnienia katalogu, obciążenie systemu i zależności między aplikacją a usługami systemowymi. Zakres czynności powinien wynikać z objawów: sam fakt obecności dziennika nie oznacza awarii, a brak nowych wpisów może być skutkiem wyłączonego audytu, błędnej ścieżki zapisu, niedostępnego nośnika albo problemu z kontem używanym przez program.