审计入门

简介

Oracle Cloud Infrastructure Audit 服务随 Oracle Cloud Infrastructure 租户提供。审计服务会自动记录对 Oracle Cloud Infrastructure 租户的公共应用程序编程接口 (Application Programming Interface，API) 端点的调用。该服务记录与对 Oracle Cloud Infrastructure 资源执行的操作相关的事件。可以查看、检索、存储和分析日志中记录的事件。这些日志事件包括如下信息：

调用方的 ID
目标资源
记录的事件的时间
请求参数
响应参数

此任务通过向您展示如何查找和查看特定事件来帮助您开始使用审计服务。

有关审计服务的完整详细信息，请参阅审计概述。

先决条件

要创建事件以在网络服务中查看、创建和删除 VCN，请执行以下操作：

创建和删除 VCN

使用云租户名称、用户名和密码登录 Oracle Cloud Infrastructure 控制台。
在 OCI 控制台的左侧导航窗格的列表范围下，选择要在其中创建 VCN 的区间。

区间是相关资源的集合，只能由组织管理员为其授予了权限的特定组来访问。
打开导航菜单。在核心基础设施下，转到网络并单击虚拟云网络。
单击创建虚拟云网络。
输入以下信息：
- 名称：输入 "Audit_Test"。
- CIDR 块：输入“10.0.0.0.0.0/16”。
- 将所有其他字段保留为其默认设置。单击创建虚拟云网络。
  
  VCN 显示在列表中。
在 VCN 名称旁边，单击 OCID：复制链接。您将使用 OCID 来帮助您查找活动。

OCID 是 Oracle 分配的唯一 ID，称为 Oracle Cloud 标识符 (OCID)。此 ID 作为资源信息的一部分包含在控制台和 API 中。
终止 VCN：单击“操作”图标（三个点），然后单击终止。提示时确认。

使用审计查看事件

在此任务中，您将使用审计来查找删除 VCN 事件。

提示：根据格林威治标准时间 (GMT) 审计时间戳事件。开始之前，请注意本地时区偏移。

打开导航菜单。在监管和管理下，转至监管并单击审核。

此时将显示当前区间中发生的事件列表。审计日志按区间组织，因此，如果您要查找特定事件，则必须知道事件发生在哪个区间中。
从区间列表中，选择您在其中创建 VCN 的区间。

显示区间的事件列表。
要查找删除 VCN 事件，可以尝试以下筛选器：

按时间筛选
1. 单击开始日期框以显示日期和时间编辑器。
2. 选择日历中的当前日期。键入或选择小时和分钟的值以接近前一小时。使用 24 小时制表示法以格林威治标准时间 (GMT) 输入时间。
3. 重复上述步骤，为当前日期和时间输入结束日期，以便筛选前一小时的结果。
  
  示例
  
  如果您位于美国/洛杉矶时区，并且您要查找当地时间 10 月 25 日下午 1:15 到下午 2:15 之间的事件，请输入 21:15 和 22:15 以考虑 GMT 偏移量。
4. 单击搜索。
按关键字过滤事件

您可以进一步过滤结果列表以仅显示包含特定文本字符串的日志条目。尝试以下条目以帮助您查找删除 VCN 事件：

提示：按关键字筛选时，使用引号可避免在较长的字符串中嵌入类似字符串的结果。例如，responseStatus "204" 周围的引号可防止将 204 的匹配项嵌入较长字符串的审计事件中其他位置。
- 按 responseStatus 值过滤
  
  在关键字框中，键入 "204"，然后单击搜索以仅显示返回了 204（i.e，正在删除资源）响应状态的事件。
- 按 requestResource 值筛选
  
  在关键字框中，粘贴在先决条件步骤中复制到剪贴板的 VCN OCID，然后单击搜索。
  
  查看事件以查找 DELETE 事件。
  
  OCID 是 Oracle 分配的唯一 ID，称为 Oracle Cloud 标识符 (OCID)。此 ID 作为资源信息的一部分包含在控制台和 API 中。
按请求操作类型筛选事件
- 按请求操作类型筛选
  
  在请求操作类型中，选择“删除”，然后单击搜索。
  
  列表筛选器仅显示 DELETE 事件。扫描列表以查找 VCN 终止事件。
查看您的事件的详细信息：
- 要仅查看顶级详细信息，请单击事件右侧的向下箭头。
- 要查看更低级别的详细信息，请单击折叠参数右侧的 { 。。。} 。

审计入门

简介

先决条件

创建和删除 VCN

使用审计查看事件

更多学习资源