4. Journal¶
Il Journal è il registro degli eventi che l'appliance ha classificato come rilevanti. Ci finiscono le voci scritte dalle azioni di tipo Journal dei criteri di Cyber Intelligence.
Non è però un secondo archivio di log da consultare: è un registro delle giustificazioni.
4.1 A che cosa serve¶
Quando un evento viene scritto nel Journal, si apre una questione che resta aperta finché un operatore non la chiude spiegando perché quell'evento è accaduto. La nota non descrive il fatto — quello lo dice già il log — ma la ragione: chi ha fatto l'operazione, su richiesta di chi, per quale motivo.
Questo trasforma un elenco di eventi tecnici in un documento leggibile anche a distanza di mesi, e da chi non era presente. Il caso d'uso tipico è la verifica dell'operato degli amministratori di sistema: un accesso privilegiato di domenica notte, la cancellazione di un registro eventi, la modifica di una policy di dominio sono operazioni legittime nella maggior parte dei casi, ma nessuno lo può stabilire guardando solo il log. Con la giustificazione accanto, la verifica diventa possibile.
4.2 Consultare il Journal¶
Si apre da Query → Journal.
L'elenco riporta per ogni voce:
| Colonna | Contenuto |
|---|---|
| Classe | L'etichetta del criterio che ha generato la voce |
| Livello | La gravità dell'evento |
| Host | La macchina di origine |
| Giorno e Ora | Quando è avvenuto |
| Applicazione | Il programma che ha prodotto l'evento |
| Messaggio | Il testo del log |
| Nota | La giustificazione, o il pulsante per inserirla |
Come nella ricerca dei log, ogni colonna ha un proprio campo di filtro e il menu Opzioni di esportazione permette di portare fuori l'elenco.
4.3 Inserire la giustificazione¶
Il pulsante nella colonna Nota apre la finestra Aggiungi nota, dove si scrive la spiegazione dell'evento e si conferma con Salva.
La nota può essere scritta una sola volta
È l'avviso che l'appliance mostra nella finestra stessa. Una volta salvata, la giustificazione non è più modificabile né cancellabile.
È una scelta voluta: un registro di giustificazioni riscrivibili non avrebbe alcun valore in una verifica, perché nulla impedirebbe di correggere a posteriori quanto scritto. Scrivi quindi la nota quando hai tutti gli elementi, non appena vedi l'evento.
Una nota utile risponde a tre domande: chi ha eseguito l'operazione, su richiesta o autorizzazione di chi, e per quale motivo. Un riferimento a un ticket, a una richiesta o a una finestra di manutenzione pianificata vale più di qualsiasi descrizione generica.
Nota predefinita dalle azioni
Le azioni di tipo Journal dei criteri di Cyber Intelligence possono portare con sé una nota predefinita. È utile per gli eventi la cui ragione è nota in anticipo e sempre la stessa, per esempio un'attività pianificata ricorrente: la voce arriva già giustificata e non resta in sospeso.
4.4 Le voci che restano senza nota¶
Una voce del Journal senza giustificazione è una domanda a cui nessuno ha risposto. Tenerne poche e chiuderle presto mantiene il registro utilizzabile: un Journal con centinaia di voci in sospeso non distingue più le operazioni legittime da quelle che nessuno ha saputo spiegare.
Per non doverle rincorrere, l'appliance può inviare un report giornaliero degli eventi importanti del Journal: si abilita in fondo alla pagina della Cyber Intelligence, indicando l'indirizzo a cui recapitarlo.
Scegliere con cura cosa mandare nel Journal
Ogni criterio con azione Journal produce voci da giustificare. Mandarci eventi frequenti e di routine significa creare un arretrato che nessuno riuscirà a smaltire. Nel Journal vanno gli eventi per cui ha senso pretendere una spiegazione.