Exportar o trilho de auditoria

Proprietários, administradores e auditores podem exportar o trilho de auditoria a qualquer momento. As exportações servem para revisões, resposta a incidentes e auditores, e para o seu próprio SIEM.

A partir do painel

Abra Evidence no espaço de trabalho da sua organização, escolha o período e os filtros e exporte como CSV ou JSON.

Cada exportação aparece no log de exportações com a data, o autor, os filtros, o número de linhas e o SHA-256 do arquivo. O painel verifica o hash do arquivo recebido contra esse log, para que você possa mostrar a um auditor que o arquivo é o que a zn produziu.

Evidências da organização reúne o trilho de auditoria do zn-gate e as verificações na nuvem das chaves de API dos membros em um único arquivo, em OpenTelemetry (OTLP JSON Lines), CSV ou JSON, e também vai para o mesmo log de exportações.

As exportações identificam pessoas por um id opaco de membro (mem_…), nunca por e-mail. Membros mostra a qual pessoa cada id pertence.

OpenTelemetry (OTLP JSON Lines)

O zn-gate também pode gravar o trilho como logs do OpenTelemetry: um ExportLogsServiceRequest em OTLP/JSON por linha, com até 500 registros por linha, um recurso por instalação. Em qualquer máquina, sem conta:

zn log export --otlp --since 7d --out zn-audit-7d.otlp.jsonl

Esse é o formato que o receiver otlpjsonfile do OpenTelemetry Collector lê, e cada linha também pode ser enviada como está a qualquer endpoint OTLP/HTTP POST /v1/logs. Uma configuração mínima do Collector (contrib):

receivers:
  otlpjsonfile: { include: ["./zn-audit-*.otlp.jsonl"], start_at: beginning }
exporters:
  debug: { verbosity: detailed }
service:
  pipelines:
    logs: { receivers: [otlpjsonfile], exporters: [debug] }

Substitua debug pelo exporter do seu SIEM.

Cada registro é um evento zn.gate.decision, com atributos semânticos do OpenTelemetry onde se aplicam (gen_ai.agent.name, gen_ai.tool.name, server.address, process.executable.name) e atributos zn.* para o restante: a decisão e seu motivo, o nome e o modo do segredo, e a cadeia de auditoria (zn.audit.seq, zn.audit.prev, zn.audit.mac). Um uso sob uma regra Avisar tem a severidade WARN. Nunca valores de segredos.

Os mesmos registros sempre produzem os mesmos bytes, portanto o mesmo hash.

Retenção

A zn mantém os registros de auditoria por 180 dias e as evidências da nuvem por 90 dias. Uma revisão SOC 2 Type II normalmente analisa 12 meses: exporte regularmente (por exemplo, mensalmente) e guarde os arquivos com seus hashes. Veja SOC 2 e agentes de programação com IA.

Enviar o trilho diretamente ao seu SIEM, retenção mais longa, SSO e SCIM não fazem parte do Team v0. Fale conosco se precisar deles.