Проверка действий пользователей по данным аудита

Проверка действий пользователей по данным аудита#

Аудит в системе позволяет проследить действия пользователя и действия, выполненные над пользователем: работу с объектами и интерфейсами, выполнение операций, подключения и ошибки, а также изменения прав доступа.

В этом разделе собраны типовые сценарии, которые помогают найти и проанализировать такие события. Выберите сценарий, соответствующий вашей задаче, и используйте его как последовательность действий для поиска необходимых сведений.

Подробное назначение форм, состав полей и настройки приведены на страницах соответствующих аудитов.

Перед использованием сценариев ознакомьтесь с разделом «Работа аудита по умолчанию» в общем описании аудитов и журналов. В нем описаны общие настройки аудита, включение аудита для классов и режимы аудита выборок.

Подготовка к анализу#

Перед анализом зафиксируйте известные сведения о событии. Чем больше исходных данных известно, тем точнее можно ограничить поиск:

  • период события;

  • пользователя, если он известен;

  • интерфейс или системное имя выборки;

  • объект и его глобальный идентификатор (GID);

  • тип действия: открытие формы, выполнение операции, изменение данных, подключение или изменение прав.

Внимание

Установите фильтры до построения данных. Запрос без ограничений может загрузить большой объем записей, из-за чего построение данных займет значительное время.

Примечание

Отсутствие записи в аудите само по себе не подтверждает, что действие не выполнялось. Учитывайте, был ли соответствующий аудит включен на момент события и какие данные отображает выбранная форма.

Типовые сценарии#

Просмотр действий пользователя за период#

Сценарий применяется, когда известен пользователь и требуется получить сводную картину его работы, например за один рабочий день.

Интерфейс: Аудит пользователя.

Путь: Настройка системы > Аудит > Аудит пользователя.

Обязательные фильтры:

  • Период с — начало анализируемого дня или события;

  • Период по — окончание анализируемого дня или события;

  • Пользователь — выберите учетную запись;

  • список классов на вкладке По объектам — выберите только классы, изменения которых нужно проверить.

Порядок анализа:

  1. Откройте аудит пользователя.

  2. Укажите период и пользователя.

  3. Откройте вкладку По объектам, выберите нужные классы и просмотрите созданные, измененные и удаленные объекты.

  4. Откройте вкладку Открытие форм и просмотрите завершенные сеансы работы с интерфейсами, даты открытия и закрытия которых входят в заданный период.

  5. Откройте вкладку Подключение и сопоставьте начало работы с событиями подключения пользователя.

  6. Откройте вкладку Отчеты и проверьте факты построения отчетов и печатных форм.

  7. Сопоставьте записи по пользователю и времени, а при наличии идентификатора объекта — также по объекту.

Пример проверки:

Поле

Значение

Период с

09.09.2026 00:00:00

Период по

10.09.2026 23:59:59

Пользователь

admin

Класс на вкладке По объектам

Пользователи

Объект для дополнительной проверки

GID 32601/14151

В результате найдите работу пользователя admin с интерфейсом Пользователи и объектом с указанным GID.

Результат: изменения объектов по выбранным классам, завершенные сеансы работы с формами, события подключения и факты построения отчетов выбранным пользователем за указанный период. Для детального анализа открытий и операций используйте аудит открытия форм и выполнения операций.

Примечание

Вкладка Открытие форм содержит завершенные сеансы, у которых и открытие, и закрытие входят в заданный период. Незакрытые формы и формы, закрытые после окончания периода, проверяйте в специализированном аудите открытия форм и выполнения операций.

Проверка выполнения операции в интерфейсе#

Сценарий применяется для проверки выполненных в интерфейсе операций и определения пользователей, которые открывали этот интерфейс.

Интерфейс: Аудит открытия форм и выполнения операций.

Путь: Настройка системы > Аудит > Аудит открытия форм и выполнения операций.

Обязательные фильтры:

  • Период с — начало анализируемого интервала;

  • Выборка — системное имя интерфейса, в котором доступна операция.

Дополнительно задайте:

  • Пользователь — если известна учетная запись;

  • ID объекта — укажите GID, если операция выполнялась из карточки или контекста конкретного объекта;

  • Период по — если нужны только завершенные сеансы.

Порядок анализа:

  1. Откройте аудит открытия форм и выполнения операций.

  2. Укажите Период с, выборку и известные дополнительные фильтры.

  3. Постройте данные.

  4. Если нужно определить пользователей интерфейса, сравните их в верхнем списке по колонкам Выборка, Наименование, Пользователь и Дата открытия.

  5. Если нужно проверить операцию, найдите сеанс интерфейса и откройте вкладку Дерево элементов формы или Список элементов формы.

  6. Найдите действие по колонкам Операция и Наименование операции.

  7. Проверьте пользователя, дату начала действия, объект, параметры и результат выполнения.

  8. Откройте вкладку Текст ошибки, если результат операции указывает на ошибку.

Пример проверки:

Заполните только следующие поля:

Поле

Значение

Период с

09.09.2026 00:00:00

Выборка

Btk_UniversalCharacteristicAvi

ID объекта

270800/804

Не заполняйте Период по и Пользователь: для операции дата завершения может отсутствовать, а пользователя нужно проверить в найденной записи. В верхнем списке найдите пользователей, работавших с интерфейсом, а в дереве формы — объект УХ «Дата постановки на учет» и операцию CANCELFORM — Разблокировать.

Примечание

Фильтр Период по применяется к дате завершения. Штатный механизм не заполняет дату завершения операций, поэтому при поиске операции используйте Период с вместе с выборкой, пользователем или ID объекта.

Результат: список пользователей, открывавших интерфейс, а при выборе сеанса — пользователь, время, операция, результат ее выполнения и связанный объект с параметрами, если они были сохранены.

Просмотр изменений данных объекта#

Сценарий применяется, когда требуется установить автора изменения, измененные атрибуты и значения до и после изменения.

Интерфейс: Аудит данных.

Путь: Настройка системы > Аудит > Аудит данных.

Если объект существует и доступен в интерфейсе, начинайте с операции Аудит объекта в его карточке. Общий раздел аудита используйте для поиска по классу, удаленному объекту или объекту, который нельзя открыть.

Обязательные фильтры для общего раздела:

  • Период с — начало интервала изменения;

  • Период по — окончание интервала изменения;

  • аудируемый класс, к которому относится объект;

  • GID объекта или его заголовок.

Для уточнения используйте системное имя атрибута, значение атрибута, пользователя и тип события.

Порядок анализа:

  1. Откройте карточку объекта и вызовите операцию Информация > Аудит объекта либо откройте общий аудит данных.

  2. При работе в общем разделе выберите аудируемый класс до построения списка.

  3. Укажите период и идентификатор объекта, соответствующий выбранному классу.

  4. Добавьте фильтр по атрибуту или типу события, если требуется найти конкретное изменение.

  5. В списке событий определите пользователя, время и тип изменения.

  6. В детализации выбранной записи сравните старое и новое значения атрибутов.

  7. Проверьте Операцию изменившую атрибут в общем аудите или Вызванную операцию в аудите объекта, если операция сохранена для найденного изменения.

Пример проверки:

Поле

Значение

Период с

09.09.2026 00:00:00

Период по

10.09.2026 23:59:59

Класс

Универсальные характеристики

GID объекта

270800/804

Найдите объект УХ «Дата постановки на учет» и откройте детализацию событий пользователя admin. Сравните старое и новое значения измененных атрибутов.

Результат: автор и время создания, изменения или удаления объекта, перечень затронутых атрибутов и значения до и после изменения.

Восстановление истории действий по объекту#

Сценарий применяется, когда нужно установить, кто и какие действия выполнил с объектом перед изменением его данных.

Используемые аудиты:

Пути:

  • Настройка системы > Аудит > Аудит открытия форм и выполнения операций;

  • Настройка системы > Аудит > Аудит данных.

Обязательные фильтры:

  • одинаковое начало проверяемого периода в обоих аудитах;

  • GID объекта, который указывается в поле ID объекта аудита открытия форм и выполнения операций;

  • аудируемый класс в списке классов аудита данных.

Дополнительно укажите Выборку, если известно системное имя интерфейса.

Порядок анализа:

  1. Откройте аудит открытия форм и выполнения операций.

  2. Задайте Период с и ID объекта.

  3. Укажите Выборку, если известно системное имя интерфейса.

  4. Отключите признак Только главные выборки, если объект мог использоваться во вкладке или вложенной форме.

  5. Откройте дерево или список элементов найденной сессии и определите связанные действия по значению ID объекта.

  6. Откройте аудит объекта или общий аудит данных.

  7. Задайте период с той же начальной границей и GID объекта.

  8. Просмотрите события создания, изменения и удаления, затем раскройте детализацию атрибутов.

  9. Сопоставьте записи двух аудитов по пользователю и времени.

Пример проверки:

Используйте один объект в обоих аудитах:

Поле

Значение

Период

09.09.2026 00:00:00–10.09.2026 23:59:59

Выборка

Btk_UniversalCharacteristicAvi

Класс

Универсальные характеристики

Объект

УХ «Дата постановки на учет»

GID

270800/804

В аудите открытия форм найдите операции с объектом, а в аудите данных — изменения того же объекта. Сопоставьте записи по пользователю admin и времени.

Что дает проверка двух аудитов

Аудит открытия форм показывает, что пользователь делал в интерфейсе. Аудит данных показывает, что изменилось в объекте. Сопоставление нужно, чтобы связать действие пользователя с результатом для конкретного объекта.

На примере объекта 270800/804:

  1. В аудите открытия форм найдите объект УХ «Дата постановки на учет» по GID 270800/804.

  2. В дереве формы найдите операцию CANCELFORM — Разблокировать и запишите пользователя и время операции.

  3. В аудите данных выберите класс Универсальные характеристики и тот же GID 270800/804.

  4. В найденной записи проверьте пользователя, время и измененные значения.

Итог проверки формулируется так: пользователь admin открыл объект, выполнил операцию «Разблокировать», после чего для этого же объекта в аудите данных была записана такая-то смена значения. Если записи изменения нет, можно утверждать только то, что операция в интерфейсе зафиксирована; изменение данных по выбранным фильтрам не найдено.

Проверка подключений и ошибок входа#

Сценарий применяется для проверки подключений, ошибок входа, начала пользовательской сессии и работы клиентского приложения.

Интерфейс: Аудит подключений.

Путь: Настройка системы > Аудит > Аудит подключений.

Обязательные фильтры:

  • Дата с — начало проверяемого периода;

  • Пользователь или ФИО — проверяемая учетная запись.

Дополнительно укажите дату окончания периода, IP-адрес клиента и приложение.

Порядок анализа:

  1. Откройте аудит подключений.

  2. Проверьте установленную дату начала. Если анализируется другой период, измените дату начала и при необходимости задайте дату окончания.

  3. Укажите пользователя или ФИО.

  4. Добавьте приложение или IP-адрес, если проверяется конкретное рабочее место.

  5. Постройте данные и расположите записи по времени.

  6. Найдите события Подключение и Ошибка подключения.

  7. Используйте события Запуск сессии и Отключение для восстановления границ работы пользователя.

Пример проверки:

Поле

Значение

Дата с

09.09.2026 00:00:00

Дата по

10.09.2026 23:59:59

Пользователь

admin

Приложение

Prt_MainMenuAvi

IP-адрес

192.168.24.122

Найдите событие открытия приложения Prt_MainMenuAvi пользователем admin и проверьте дату, IP-адрес и описание события.

Результат: время подключения, ошибки входа, запуска сессии или отключения, а также пользователь, приложение, IP-адрес и дополнительное описание события.

Примечание

В основном списке значение Подключение объединяет несколько успешных событий: вход, подключение и открытие приложения. Сопоставляйте его с событием Запуск сессии, приложением, временем и описанием.

Проверка подключений к сервисам#

Сценарий применяется для анализа успешной и неуспешной аутентификации при обращении к REST-, SOAP- и WS-интерфейсам.

Интерфейс: Аудит подключений к сервисам REST/SOAP/WS.

Путь: Настройка системы > Аудит > Аудит подключений к сервисам REST/SOAP/WS.

Обязательные фильтры:

  • Период с — начало анализируемого интервала;

  • Период по — окончание анализируемого интервала.

Порядок анализа:

  1. Откройте аудит подключений к сервисам REST/SOAP/WS.

  2. Задайте минимальный период, в котором выполнялся вызов.

  3. Постройте данные.

  4. Просмотрите колонки Пользователь, IP-адрес, Сервис и URL и найдите нужное обращение.

  5. Если список слишком велик, сократите период и повторно постройте данные.

  6. Проверьте время подключения, действие и описание ошибки.

  7. Сопоставьте повторные обращения по сервису, пользователю и IP-адресу.

Пример проверки:

Поле

Значение

Период с

09.09.2026 00:00:00

Период по

10.09.2026 23:59:59

В результате найдите обращения пользователя admin к сервису Btk_BackgroundJobSessionPkg/activeJobs. Проверьте URL, время подключения, IP-адрес 192.168.20.142 и результат обращения.

Примечание

На панели этой формы доступны только фильтры периода. Пользователь, IP-адрес, сервис и URL отображаются в результате и не являются отдельными полями фильтрации.

Результат: сведения об успешной или неуспешной аутентификации в сервисе, включая пользователя, время, адрес клиента, сервис и URL.

Просмотр изменений прав доступа#

Сценарий применяется для анализа назначений пользователей, состава профилей и изменений прав ролей.

Интерфейс: Аудит прав доступа.

Путь: Настройка системы > Аудит > Аудит прав доступа.

Обязательные фильтры:

  • Вид объекта — пользователь, профиль или роль;

  • Объект — конкретный пользователь, профиль или роль;

  • Период с — начало интервала изменения;

  • Период по — окончание интервала изменения.

Порядок анализа:

  1. Откройте аудит прав доступа.

  2. Выберите вид объекта: Пользователь, Профиль или Роль.

  3. Заполните поле Объект.

  4. Укажите период изменения.

Дальнейшие действия зависят от выбранного вида объекта:

  • Пользователь — просмотрите назначения и снятия профилей. Проверьте связанный профиль, вид изменения, изменившего пользователя, дату и IP-адрес. Операция Изменения по объекту открывает историю выбранного профиля;

  • Профиль — просмотрите назначения и снятия ролей и пользователей. Проверьте связанный объект, вид изменения, изменившего пользователя, дату и IP-адрес. Операция Изменения по объекту открывает историю выбранного пользователя или роли;

  • Роль — выберите администрируемый объект или класс и просмотрите изменения объектных либо серверных прав. Проверьте изменившего пользователя, дату, IP-адрес, старое и новое значения права.

Пример проверки:

Поле

Значение

Вид объекта

Роль

Объект

ltt Проект 02-Т, GID 33551/109701

Период с

09.09.2026 00:00:00

Период по

10.09.2026 23:59:59

Найдите изменение, выполненное пользователем admin, и сравните старое и новое значения права.

Результат: история изменения назначений и прав с указанием автора, времени и IP-адреса. Для прав роли также доступны значения до и после изменения.

Если записи не найдены#

При отсутствии результата:

  1. Проверьте правильность пользователя, GID объекта и системного имени выборки.

  2. Расширьте период небольшими интервалами.

  3. Уберите один дополнительный фильтр, сохранив ограничение по периоду.

  4. Проверьте на странице соответствующего аудита условия формирования записей и настройки его включения.

  5. Учитывайте, что сводные формы показывают данные только из предусмотренных для них источников.

Содержание