Consulter les journaux d'audit Zero Trust

La page d'audit fournit des enregistrements d'accès réseau, de requêtes DNS, d'événements d'exécution et d'accès aux applications publiées, à analyser selon l'heure, le terminal et le résultat. Chaque journal concerne une étape différente : un enregistrement ne prouve pas la réussite de toute la chaîne et son absence ne prouve pas à elle seule l'absence d'accès.

Pour consulter les journaux existants, utilisez un compte disposant des droits et du périmètre de visibilité appropriés et passez directement aux étapes de recherche ci-dessous. Ne modifiez pas la configuration et ne produisez pas d’événements de test pour la seule consultation. Pour vérifier de nouveaux journaux, examinez d’abord la fonction et la configuration existante ; seule une personne disposant des droits de gestion appropriés les modifie si nécessaire avant le test correspondant. Les conditions de production varient selon le type de journal.

Préparer la consultation et les essais

• Utilisez un compte superadministrateur disposant du droit de lecture Zero Trust. L'accès aux applications publiées exige aussi un service visible ; le périmètre dépend du compte et du déploiement.
• Préparez des terminaux pilotes, cibles et horaires autorisés. Les journaux dépendent de la production des événements, de leur transmission par le terminal ou service, du stockage serveur et de la requête. Une anomalie à chaque étape peut affecter l'affichage. Cette page n'active pas globalement la collecte de tous les journaux.
• Les journaux peuvent contenir utilisateurs, terminaux, adresses, domaines et chemins sensibles. Consultez, partagez et conservez-les selon les autorisations et règles de protection des données de l'organisation.

Préparer un test d'accès réseau

Les étapes suivantes servent à produire des enregistrements pilotes si nécessaire. Vérifiez et réutilisez d’abord les groupes et stratégies d’accès qui répondent au test. Avant de modifier les membres ou la stratégie, évaluez les autres références et les effets métier ; n’élargissez pas l’accès uniquement pour produire des journaux.

1. Uniquement si les nœuds pilotes ne font pas encore partie d’un groupe source adapté, Dans le contrôle d’accès Zero Trust, créez ou choisissez un groupe source. Ouvrez ses détails et, dans l’onglet « Endpoints », choisissez « Add Endpoints ». Sélectionnez les nœuds pilotes autorisés et confirmez. Vérifiez les autres références avant de modifier un groupe existant.
2. Dans « Policies », vérifiez la source, la destination, l’action d’autorisation ou de refus, le protocole, la direction et les ports de la stratégie applicable. Seulement si une création ou modification est nécessaire, une personne habilitée choisit le groupe ou nœud pilote en source et le nœud, groupe ou ressource réseau à tester en destination, puis règle ces conditions selon le besoin. Pour TCP ou UDP, indiquez les ports nécessaires ; vide signifie tous les ports. Enregistrez les modifications et vérifiez l’activation et les conditions.
3. Si la cible exige route ou DNS, configurez-les séparément et vérifiez le service. Une sélection « Policy Target Groups » vide sur la route génère une autorisation par défaut, non un refus par défaut. Pour limiter l'accès, choisissez les groupes cibles et vérifiez la politique correspondante.
4. Après réception par les nœuds, effectuez dans le périmètre autorisé des accès contrôlés depuis un nœud attendu autorisé et un autre non autorisé ; consignez heure et résultat. La politique contrôle l'accès mais ne garantit pas un journal complet pour chaque connexion. Voir Groupes et politiques et Routes réseau.

Préparer les tests DNS, d'exécution et de publication

• DNS Queries : vérifiez que le terminal pilote est connecté à Zero Trust et non exclu de la gestion DNS. Vérifiez d’abord l’activation, le groupe concerné, l’accessibilité des serveurs et les domaines correspondants du groupe DNS existant ; réutilisez-le s’il convient au test. Seulement si des changements sont nécessaires, une personne habilitée évalue leur impact, configure et enregistre les modifications, puis vérifie l’activation. Une fois la configuration reçue, interrogez un nom complet appartenant à l'organisation ou autorisé pour les tests. Voir Groupes DNS pour les étapes et limites des domaines de recherche. Aucun enregistrement n'est garanti si l'application contourne la résolution système ou si la requête ne traverse pas le composant concerné.
• Runtime Events : vérifiez le fonctionnement du terminal et des composants, puis réalisez une connexion ou modification contrôlée pendant une fenêtre de maintenance autorisée et notez l'heure. Les événements dépendent du composant et du résultat ; n'interrompez pas la production uniquement pour créer une trace.
• Application Publishing Access : pour vérifier de nouveaux enregistrements, vérifiez que le service cible, le proxy associé et les exigences d’authentification sont configurés et activés. Accédez depuis un client de test autorisé et notez l’heure et le résultat. La page exige la sélection d’un service publié visible ; si aucun service n’est sélectionnable, elle ne peut pas interroger par service, mais cela ne prouve pas à lui seul la suppression des journaux historiques. Vérifiez la liste et les droits, puis contactez l’administration si nécessaire ; n’exposez pas un service non autorisé uniquement pour produire une trace.

Choisir journal et périmètre

1. Dans Zero Trust, ouvrez « Audit » et choisissez selon le problème. Sur la carte voulue, sélectionnez View Records.

Page	Contenu
Network Access	Autorisations, blocages et fins de connexion enregistrés ; filtres résultat, direction et protocole.
DNS Queries	Nom, type, résultat, résolveur, serveur amont et durée enregistrés ; filtres résultat et nom.
Runtime Events	Connexion client, état de composant ou configuration ; filtres composant et résultat.
Application Publishing Access	Accès et résultats d'authentification par service publié.

2. Choisissez les dates et vérifiez les filtres. Initialement, la page couvre le jour courant et les six précédents ; élargissez pour des événements plus anciens. En cas d'écart d'heure, vérifiez heure et fuseau du terminal et du navigateur.
3. Utilisez la pagination pour la suite ; chaque page affiche 50 entrées. Après changement de dates ou filtres, revérifiez sans vous limiter à la première page.

La recherche utilise les jours calendaires du fuseau horaire du navigateur d’administration, dates de début et de fin incluses. Pour une enquête entre fuseaux, convertissez l’heure du test dans le fuseau du navigateur avant de choisir les dates. Un jour de changement d’heure peut ne pas durer 24 heures.

Analyser accès réseau et DNS

1. Dans Network Access, choisissez résultat, direction entrante ou sortante et protocole ; examinez terminal, source, destination, règle, trafic et heure. Effacez d'abord les filtres inutiles.
2. Dans DNS Queries, saisissez un nom puis appuyez sur Entrée ou quittez le champ pour appliquer la recherche. Filtrez si nécessaire par succès, domaine introuvable ou échec, et examinez nom, type, résolveur, serveur amont, résultat et durée.
3. Associez les entrées au terminal pilote, à l'heure et à la cible, puis examinez DNS, route, politique et service. Une autorisation ne garantit pas la réponse de l'application ; l'absence de journal DNS ne prouve pas l'absence de requête.

Par exemple, si une application interne ne s'ouvre pas, vérifiez son nom complet sur le terminal pilote, puis les journaux DNS et réseau, et enfin politique, route et service. Les journaux donnent des indices sur les étapes enregistrées, sans remplacer le test métier.

Le filtre de nom DNS compare exactement la valeur complète enregistrée ; ce n’est pas une recherche par sous-chaîne. Un nom enregistré peut être en minuscules et se terminer par un point. La saisie n’ajoute pas automatiquement ce point et ne modifie pas la casse. Sans résultat, effacez le filtre de nom, trouvez une entrée dans la période appropriée et saisissez exactement le nom complet affiché, puis appuyez sur Entrée ou quittez le champ. Si les entrées manquent encore, vérifiez le passage par le DNS Zero Trust et la remontée des journaux.

Analyser exécution et accès publié

1. Dans Runtime Events, filtrez composant et résultat, puis comparez heure et état avec la connexion du terminal et l'application de configuration.
2. Dans Application Publishing Access, vérifiez le service sélectionné, la date et les résultats, puis changez de service si nécessaire. La page peut présélectionner un service différent de la cible recherchée.
3. Si aucun service n'est disponible ou si le chargement échoue, vérifiez existence du service, droits du compte et service de gestion. Examinez ensemble publication, authentification, proxy et application. Une entrée ne prouve pas que l'utilisateur a terminé son opération métier.

Interpréter la colonne d’authentification : pour les accès HTTP, le succès ou l’échec affiché peut dépendre du statut de réponse HTTP : 401 ou 403 peut apparaître comme un échec, tandis que d’autres statuts, y compris des erreurs de service, peuvent apparaître comme un succès. Pour les enregistrements non HTTP tels que TCP, UDP ou TLS, un échec affiché ne signifie pas nécessairement qu’une authentification utilisateur a échoué. Analysez ensemble le mode d’authentification du service, le code de réponse, la source et les journaux de l’application cible lors de tests contrôlés ; ne déduisez pas l’identité ni le succès ou l’échec de l’authentification de cette seule colonne. Les libellés anglais correspondants sont Authentication, Success et Failed.

Problèmes courants

• Entrée absente : élargissez les dates, effacez les filtres, vérifiez pages, terminal et service, puis configuration, événement de test, production, transmission et stockage.

• Chargement échoué : vérifiez droits, réseau et service. Une requête échouée diffère d'une requête réussie sans donnée.

• Recherche DNS inchangée : appuyez sur Entrée ou quittez le champ après saisie, et vérifiez dates et résultat.

• Heures ou résultats différents : vérifiez fuseau, étape et objet ; les journaux ne couvrent pas nécessairement toutes les étapes d'un événement.

• Analyse complémentaire : selon la procédure d'autorisation, consignez seulement heure, terminal, résultats et messages nécessaires ; évitez la diffusion de journaux complets ou d'adresses sensibles.

• Des entrées anciennes manquent : un superadministrateur autorisé à gérer les paramètres de plateforme peut ouvrir Data Cleanup dans les paramètres système et vérifier Enable automatic cleanup, le périmètre Zero Trust events des enregistrements métier et sa durée de conservation. Vérifiez le résultat d’exécution dans le journal de nettoyage des journaux de plateforme. Lorsque ce périmètre est activé et exécuté, les entrées expirées d’accès réseau, DNS, événements d’exécution et accès aux applications publiées peuvent être nettoyées. Vérifiez les exigences de conservation et les exécutions avant toute modification ; ne modifiez pas la durée à la légère pour un dépannage. Désactiver le nettoyage ne restaure pas les entrées supprimées.

• Politiques d’accès