Аудит запросов поиска

Нет типа событий аудита, специально предназначенного для запросов поиска. Запросы поиска анализируются и затем обрабатываются; обработка запускает действия авторизации, которые аудитируются. Однако исходный, отправленный клиентом, сырой запрос недоступен в процессе аудита авторизации.

Однако запросы поиска содержатся в теле HTTP-запроса, и некоторые события аудита, генерируемые слоем REST на узле координации, могут быть настроены на вывод тела запроса в журнал аудита. Поэтому для аудита запросов поиска необходимо аудитировать тела запросов.

Чтобы убедиться, что события аудита включают тело запроса, отредактируйте следующее значение в файле elasticsearch.yml:

xpack.security.audit.logfile.events.emit_request_body: true

Тело запроса выводится как закодированное значение JSON-строки (RFC 4627) в атрибут события request.body.

Не все события содержат атрибут request.body, даже если вышеуказанная настройка включена. К тем, которые его содержат, относятся: authentication_success, authentication_failed, realm_authentication_failed, tampered_request, run_as_denied и anonymous_access_denied. Атрибут request.body выводится только на узле координации (узле, обрабатывающем REST-запрос). Большинство из этих типов событий по умолчанию не включены.

Хорошим практическим советом является добавление authentication_success к типам событий, которые аудитируются (добавление в список в xpack.security.audit.logfile.events.include), так как этот тип события по умолчанию не аудитируется.