Tra cứu nhật ký kiểm toán Zero Trust

Xem dưới dạng Markdown

Trang kiểm toán cung cấp bản ghi truy cập mạng, truy vấn DNS, sự kiện chạy và truy cập ứng dụng được công bố để phân tích theo thời gian, thiết bị và kết quả. Mỗi loại phản ánh một giai đoạn; có bản ghi không chứng minh toàn bộ chuỗi thành công, còn thiếu bản ghi không tự chứng minh không có truy cập.

Nếu chỉ xem nhật ký hiện có, hãy dùng tài khoản có quyền xem và phạm vi hiển thị phù hợp rồi chuyển trực tiếp đến các bước tra cứu bên dưới. Không cần sửa cấu hình hay phát sinh sự kiện thử nghiệm chỉ để tra cứu. Để xác minh nhật ký mới, trước tiên kiểm tra chức năng và cấu hình hiện có; chỉ người có quyền quản lý phù hợp mới điều chỉnh khi cần trước thử nghiệm tương ứng. Mỗi loại nhật ký có điều kiện tạo khác nhau.

Chuẩn bị xem và thử nghiệm

Dùng tài khoản siêu quản trị có quyền đọc Zero Trust. Nhật ký truy cập ứng dụng công bố còn cần dịch vụ công bố có thể xem; phạm vi tùy tài khoản và triển khai.
Chuẩn bị thiết bị thử, mục tiêu và thời gian được phép. Bản ghi phụ thuộc sự kiện được tạo, thiết bị hoặc dịch vụ báo cáo, máy chủ lưu và truy vấn; lỗi bất kỳ giai đoạn nào có thể ảnh hưởng hiển thị. Trang này không phải công tắc chung bật thu thập mọi nhật ký.
Nhật ký có thể chứa người dùng, thiết bị, địa chỉ, miền và đường truy cập nhạy cảm. Xem, chia sẻ và lưu theo quyền và yêu cầu bảo vệ dữ liệu của tổ chức.

Chuẩn bị thử truy cập mạng

Các bước dưới đây chỉ dùng tạo bản ghi thử nghiệm khi cần. Trước tiên kiểm tra và dùng lại nhóm truy cập và chính sách hiện có đáp ứng yêu cầu thử. Trước khi thay đổi thành viên hoặc chính sách, đánh giá các tham chiếu khác và ảnh hưởng nghiệp vụ; không mở rộng truy cập chỉ để tạo nhật ký.

Chỉ khi các nút thử chưa thuộc nhóm nguồn phù hợp, trong nhóm truy cập của kiểm soát truy cập Zero Trust, tạo hoặc chọn nhóm nguồn. Mở chi tiết, chọn 「Add Endpoints」 trong thẻ 「Endpoints」, chọn nút thử được phép và xác nhận. Kiểm tra tham chiếu khác trước khi sửa nhóm hiện có.
Trong Policies, kiểm tra nguồn, đích, hành động cho phép hoặc từ chối, giao thức, hướng và cổng của chính sách áp dụng. Chỉ khi cần tạo hoặc sửa, quản trị viên có quyền chọn nhóm hoặc nút thử làm nguồn, nút, nhóm hoặc tài nguyên mạng cần thử làm đích, rồi đặt các điều kiện theo nghiệp vụ. Với TCP hoặc UDP, nhập cổng thử cần thiết; để trống là mọi cổng. Lưu thay đổi và kiểm tra trạng thái bật cùng các điều kiện.
Nếu cần tuyến hoặc DNS, cấu hình riêng và kiểm tra dịch vụ đích. Để trống 「Policy Target Groups」 của tuyến tạo quy tắc cho phép mặc định, không phải từ chối mặc định. Muốn hạn chế, chọn nhóm đích và kiểm tra chính sách tương ứng.
Sau khi nút nhận cấu hình, thực hiện truy cập thử có kiểm soát trong phạm vi được phép từ nút dự kiến được phép và không được phép; ghi thời gian và kết quả. Chính sách kiểm soát truy cập nhưng không bảo đảm nhật ký đầy đủ cho mọi kết nối. Xem nhóm và chính sách, tuyến mạng.

Chuẩn bị thử DNS, sự kiện chạy và truy cập công bố

DNS Queries: xác nhận thiết bị thử kết nối Zero Trust và không bị loại khỏi quản lý DNS. Trước tiên kiểm tra trạng thái bật, nhóm áp dụng, khả năng truy cập máy chủ và các miền khớp cần thiết của nhóm DNS hiện có; sử dụng lại nếu phù hợp cho thử nghiệm. Chỉ khi cần thay đổi, quản trị viên có quyền đánh giá tác động, cấu hình và lưu thay đổi, rồi kiểm tra trạng thái bật. Khi thiết bị đã nhận cấu hình, truy vấn tên đầy đủ tổ chức sở hữu hoặc được phép thử. Xem nhóm DNS về các bước và giới hạn miền tìm kiếm. Không bảo đảm có bản ghi nếu ứng dụng bỏ qua phân giải hệ thống hoặc truy vấn không đi qua thành phần liên quan.
Runtime Events: xác nhận thiết bị và thành phần Zero Trust hoạt động, thực hiện kết nối hoặc thay đổi cấu hình có kiểm soát trong thời gian bảo trì được phép và ghi giờ. Sự kiện phụ thuộc thành phần và kết quả; không tùy tiện ngắt kết nối sản xuất chỉ để tạo bản ghi.
Application Publishing Access: Khi xác minh bản ghi mới, kiểm tra dịch vụ công bố đích, proxy liên quan và yêu cầu xác thực đã được cấu hình và bật. Truy cập từ máy thử được phép, ghi thời gian và kết quả. Trang truy vấn yêu cầu chọn trước một dịch vụ công bố có thể nhìn thấy; nếu không có dịch vụ để chọn, trang không thể truy vấn theo dịch vụ, nhưng điều đó không tự chứng minh nhật ký lịch sử đã bị xóa. Kiểm tra danh sách dịch vụ và quyền, liên hệ quản trị viên khi cần; không công bố dịch vụ chưa được phép chỉ để tạo bản ghi.

Chọn nhật ký và phạm vi

Trong Zero Trust mở 「Audit」 và chọn theo vấn đề. Trên thẻ phù hợp, chọn View Records.

Mục	Nội dung
Network Access	Cho phép, chặn và kết thúc kết nối đã ghi; lọc kết quả, hướng và giao thức.
DNS Queries	Tên, loại, kết quả, bộ phân giải, máy chủ thượng nguồn và thời gian đã ghi; lọc kết quả và tên.
Runtime Events	Kết nối máy khách, trạng thái thành phần hoặc sự kiện cấu hình; lọc thành phần và kết quả.
Application Publishing Access	Truy cập và kết quả xác thực theo dịch vụ công bố.

Chọn ngày và kiểm tra bộ lọc. Lần đầu trang mặc định gồm ngày hiện tại và sáu ngày trước; cần mở rộng nếu tìm sự kiện cũ. Nếu giờ khác thử nghiệm, kiểm tra giờ và múi giờ thiết bị, trình duyệt.
Dùng phân trang phía dưới; mỗi trang 50 bản ghi. Kiểm tra lại khi đổi ngày hoặc bộ lọc, không chỉ xem trang đầu.

Khoảng ngày được truy vấn theo ngày lịch trong múi giờ của trình duyệt quản trị, bao gồm cả ngày bắt đầu và ngày kết thúc đã chọn. Khi điều tra khác múi giờ, hãy đổi thời điểm thử nghiệm sang múi giờ của trình duyệt trước khi chọn ngày. Ngày chuyển giờ mùa hè có thể không dài 24 giờ.

Phân tích truy cập mạng và DNS

Trong Network Access, chọn kết quả, hướng vào hoặc ra và giao thức; đối chiếu thiết bị, nguồn, đích, quy tắc, lưu lượng và thời gian. Xóa bộ lọc không cần trước khi thu hẹp.
Trong DNS Queries, nhập tên rồi nhấn Enter hoặc rời ô để áp dụng; có thể chọn thành công, không tồn tại hoặc thất bại. Kiểm tra tên, loại, bộ phân giải, thượng nguồn, kết quả và thời gian.
Đối chiếu bản ghi với thiết bị thử, thời gian và mục tiêu, cùng trạng thái DNS, tuyến, chính sách và dịch vụ. Bản ghi cho phép không bảo đảm ứng dụng phản hồi; thiếu nhật ký DNS không chứng minh thiết bị không truy vấn.

Ví dụ khi ứng dụng nội bộ không mở, trước tiên kiểm tra phân giải tên đầy đủ trên thiết bị thử, sau đó xem nhật ký DNS và mạng, cuối cùng kiểm tra chính sách, tuyến và dịch vụ. Nhật ký là manh mối cho các giai đoạn đã ghi, không thay thử nghiệm nghiệp vụ.

Bộ lọc tên DNS khớp chính xác toàn bộ giá trị đã ghi, không tìm theo chuỗi con. Tên được ghi có thể viết thường và có dấu chấm cuối; ô nhập không tự thêm dấu chấm hoặc đổi chữ hoa, chữ thường. Nếu không thấy kết quả, xóa bộ lọc tên, tìm bản ghi trong khoảng ngày phù hợp rồi nhập nguyên tên đầy đủ đang hiển thị và nhấn Enter hoặc rời ô nhập. Nếu vẫn thiếu bản ghi, kiểm tra truy vấn có đi qua DNS Zero Trust và bản ghi đã được báo cáo hay chưa.

Phân tích sự kiện chạy và truy cập công bố

Trong Runtime Events lọc thành phần và kết quả, xem giờ và trạng thái cùng kết nối thiết bị và việc áp dụng cấu hình.
Khi dùng công bố ứng dụng, mở Application Publishing Access, kiểm tra dịch vụ đang chọn, ngày và kết quả, đổi dịch vụ nếu cần. Trang có thể chọn sẵn một dịch vụ nên không giả định đó là mục tiêu cần tìm.
Nếu không có dịch vụ hoặc tải lỗi, kiểm tra dịch vụ tồn tại, quyền tài khoản và trạng thái dịch vụ quản lý. Đối chiếu công bố, xác thực, proxy và ứng dụng. Có bản ghi không chứng minh người dùng đã hoàn tất nghiệp vụ.

Cách hiểu cột xác thực: Với truy cập HTTP, trạng thái thành công hoặc thất bại trong cột xác thực có thể phụ thuộc mã phản hồi HTTP: 401 hoặc 403 có thể hiển thị thất bại, còn trạng thái khác, kể cả lỗi dịch vụ, có thể hiển thị thành công. Với bản ghi không phải HTTP như TCP, UDP hoặc TLS, hiển thị thất bại không nhất thiết có nghĩa xác thực người dùng đã thất bại. Trong thử nghiệm có kiểm soát, hãy đối chiếu phương thức xác thực dịch vụ, mã phản hồi, nguồn truy cập và nhật ký ứng dụng đích; không kết luận thành công, thất bại hay danh tính người dùng chỉ từ cột này. Các nhãn tương ứng trong giao diện tiếng Anh là Authentication, Success và Failed.

Vấn đề thường gặp

Thiếu bản ghi: mở rộng ngày, xóa bộ lọc, kiểm tra trang, thiết bị và dịch vụ; sau đó kiểm tra cấu hình, sự kiện thử, tạo, báo cáo và lưu bản ghi.
Tải trang lỗi: kiểm tra quyền, mạng và dịch vụ. Truy vấn lỗi khác truy vấn thành công nhưng không có dữ liệu.
Tìm DNS không đổi: nhấn Enter hoặc rời ô sau khi nhập, kiểm tra ngày và bộ lọc kết quả.
Thời gian hoặc kết quả khác: kiểm tra múi giờ, giai đoạn sự kiện và đối tượng; các nhật ký có thể không bao phủ mọi giai đoạn.
Điều tra thêm: theo quy trình cho phép, chỉ ghi thời gian, thiết bị, kết quả và thông báo cần thiết; tránh phát tán toàn bộ nhật ký hoặc địa chỉ nhạy cảm.
Thiếu bản ghi cũ: Quản trị viên cấp cao có quyền quản lý cài đặt nền tảng có thể mở Data Cleanup trong cài đặt hệ thống, kiểm tra Enable automatic cleanup, công tắc phạm vi Zero Trust events thuộc bản ghi nghiệp vụ và số ngày lưu giữ; sau đó kiểm tra kết quả chạy trong nhật ký dọn dữ liệu của nhật ký nền tảng. Khi phạm vi này được bật và thực thi, các bản ghi hết hạn về truy cập mạng, DNS, sự kiện chạy và truy cập ứng dụng công bố đều có thể bị dọn. Trước khi thay đổi, xác nhận yêu cầu lưu giữ và lịch sử thực thi; không tùy ý đổi thời hạn để xử lý sự cố. Tắt dọn dữ liệu không khôi phục bản ghi đã xóa.
Chính sách truy cập

Ngày cập nhật 15 thg 11, 2026