审计日志类别

审计日志类别有助于识别感兴趣的事件，而无需列举每个事件。在audit.3中，事件必须记录在下表中的某个类别下。audit.2日志可以使用相同的类别，但不强制执行，使用被认为是尽力而为。有关audit.2和audit.3架构之间差异的更多信息，请参阅审计日志概述。

使用类别的审计工作流程示例可能是：

1. 确定感兴趣的审计类别，例如dataLoad。
2. 使用Foundry流水线或SIEM搜索包含这些事件的所有审计日志。在伪代码中：

Copied!
1
2
// 过滤所有日志，保留那些日志类别包含在interestingCategories中的日志
allLogs.filter { log -> interestingCategories.any { log.categories.contains(X) } }

在这段代码中：

• allLogs 是一个包含所有日志的集合。
• filter 是一个过滤函数，用于筛选出符合条件的元素。
• interestingCategories 是一个集合，包含我们感兴趣的类别。
• any 是一个函数，用于检查 interestingCategories 中是否有任意一个元素满足条件。
• log.categories.contains(X) 表示检查日志的类别中是否包含某个元素 X。这个地方的 X 可能是一个占位符，应该替换为具体的类别条件。

3. 对于每个日志，request_params 和 result_params 反映了用户提交和查看的具体信息。请求和响应参数被分开，以便使用者可以区分请求中提供的参数和作为交互结果的一部分的响应参数。

例如，如果您的日志包含 dataLoad 类别，那么 request_params 和/或 result_params 将包含用户在此交互期间加载的所有资源的列表。

以下是可用的审计日志类别。