[Документация Yandex Cloud](../../index.md) > [Yandex Audit Trails](../index.md) > [Концепции](index.md) > Трейл

# Трейл


{% note info %}

Список сервисов, которые доступны в [регионе Казахстан](../../overview/concepts/region.md), можно посмотреть на странице [Сервисы Yandex Cloud](../../overview/concepts/services.md).

{% endnote %}


Трейл — это ресурс Audit Trails, который собирает аудитные логи ресурсов Yandex Cloud и записывает их в [бакет](../../storage/concepts/bucket.md) Object Storage, [лог-группу](../../logging/concepts/log-group.md) Cloud Logging, [поток данных](../../data-streams/concepts/glossary.md#stream-concepts) Data Streams или [шину](../../serverless-integrations/concepts/eventrouter/bus.md) Yandex EventRouter.

## Область сбора аудитных логов {#collecting-area}

В настройках трейла можно выбрать область сбора аудитных логов:
* организация — аудитные логи ресурсов сервисов в выбранных облаках организации;
* облако — аудитные логи ресурсов сервисов, которые находятся в выбранных каталогах облака;
* каталог — аудитные логи каталога.

Трейл будет собирать логи всех [ресурсов](events.md), которые находятся в заданной области сбора, в том числе ресурсов, которые будут добавлены в область после создания трейла.

Для тех ресурсов, которые были добавлены в область сбора аудитных логов уже после создания трейла, сбор аудитных логов начнется автоматически.

Для [событий уровня конфигурации](control-plane-vs-data-plane.md#control-plane-events) область сбора содержит все поддерживаемые [сервисы Yandex Cloud](../../overview/concepts/services.md#list).

Для [событий уровня сервисов](control-plane-vs-data-plane.md#data-plane-events) область сбора задается отдельно для каждого сервиса.

В любой момент вы можете отключить сбор всех событий уровня конфигурации или сбор событий уровня сервисов для какого-либо одного или нескольких сервисов.

## Предустановленные события {#default}

При создании трейла в [консоли управления](https://kz.console.yandex.cloud) по умолчанию включен сбор некоторых событий [уровня сервисов](events-data-plane.md). Это сделано для обеспечения безопасности и соответствует [стандарту](../../security/standard/audit-logs.md#audit-trails) по защите облачной инфраструктуры. Если сервис не используется, события можно отключить. Доставленные события тарифицируются в соответствии с [правилами тарификации](../pricing.md).

Сервисы, для которых включена отправка событий по умолчанию:

#|
|| **Сервис** | **События** ||
|| [Yandex Certificate Manager](../../certificate-manager/at-ref.md#data-plane-events) | Все события ||
|| [Yandex Identity and Access Management](../../iam/at-ref.md#data-plane-events) | Все события ||
|| [Yandex Key Management Service](../../kms/at-ref.md#data-plane-events) | Все события ||
|| [Yandex Lockbox](../../lockbox/at-ref.md#data-plane-events) | Все события ||
|| [Yandex Managed Service for MySQL®](../../managed-mysql/at-ref.md#data-plane-events) |
* `yandex.cloud.audit.mdb.mysql.CreateDatabase`
* `yandex.cloud.audit.mdb.mysql.CreateUser`
* `yandex.cloud.audit.mdb.mysql.DeleteDatabase`
* `yandex.cloud.audit.mdb.mysql.DeleteUser`
* `yandex.cloud.audit.mdb.mysql.GrantUserPermission`
* `yandex.cloud.audit.mdb.mysql.RevokeUserPermission`
* `yandex.cloud.audit.mdb.mysql.UpdateUser`
||
|| [Yandex Managed Service for PostgreSQL](../../managed-postgresql/at-ref.md#data-plane-events) |
* `yandex.cloud.audit.mdb.postgresql.CreateDatabase`
* `yandex.cloud.audit.mdb.postgresql.CreateUser`
* `yandex.cloud.audit.mdb.postgresql.DeleteDatabase`
* `yandex.cloud.audit.mdb.postgresql.DeleteUser`
* `yandex.cloud.audit.mdb.postgresql.GrantUserPermission`
* `yandex.cloud.audit.mdb.postgresql.RevokeUserPermission`
* `yandex.cloud.audit.mdb.postgresql.UpdateDatabase`
* `yandex.cloud.audit.mdb.postgresql.UpdateUser`
||
|#

## Объект назначения {#target}

Каждый трейл загружает аудитные логи только в один объект назначения: бакет, лог-группу, поток данных или шину.

#|
|| **Назначение** | **Когда использовать** | **Задержка** | **Формат** ||
|| Бакет Object Storage | Долгосрочное хранение, соответствие требованиям | 5 мин | Массив JSON ||
|| Лог-группа Cloud Logging | Мониторинг в реальном времени | секунды | Поток записей Cloud Logging: одно событие Audit Trails соответствует одной записи Cloud Logging ||
|| Поток данных Data Streams | Интеграция с SIEM, аналитика | секунды | Поток JSON-объектов ||
|| Шина EventRouter | Последующая обработка с отправкой в разные [приемники](../../serverless-integrations/concepts/eventrouter/rule.md#target) | секунды | Поток событий EventRouter: одно событие Audit Trails соответствует одному событию EventRouter ||
|#

Каждый объект назначения имеет свои преимущества:

* **Object Storage** — позволяет долговременно хранить большие объемы данных для дальнейшей обработки.
* **Cloud Logging** — помогает реагировать на события и анализировать логи в реальном времени.
* **Data Streams** — позволяет передавать данные в другие сервисы и системы с помощью потоковой передачи. 
* **EventRouter** — позволяет обрабатывать и отправлять данные в разные обработчики и системы в зависимости от типов событий и других условий.

При загрузке аудитных логов в бакет Audit Trails формирует файлы аудитных логов приблизительно раз в 5 минут. Трейл запишет все [события](events.md), которые произошли за это время с ресурсами облака, в один или несколько файлов. Если никакие события за этот период не произойдут, файлы не сформируются.

В лог-группу, поток данных и шину Audit Trails загружает аудитные логи в режиме, близком к реальному времени.

От типа объекта назначения зависит структура и содержимое сообщения, в котором Audit Trails передает аудитные логи:
* для бакета — в файле находится массив [JSON-объектов](format.md#scheme) аудитного лога;
* для лог-группы — в сообщении находится только один JSON-объект аудитного лога.
* для потока данных — в поток передаются сообщения, содержащие JSON-объекты аудитного лога.
* для шины — в сообщении находится только один JSON-объект аудитного лога.

{% note info %}

При смене объекта назначения в существующем трейле часть событий может быть потеряна. Чтобы избежать потери данных, для каждого объекта создавайте свой трейл.

{% endnote %}

Каждый трейл действует независимо от других трейлов. Используя несколько трейлов, можно разграничивать доступ к разным группам логов для пользователей и сервисов в соответствии с требованиями политики ИБ.

## Настройки трейла {#trail-settings}

Трейл содержит в себе все настройки аудитного лога:
* **Имя** — обязательный параметр.
* **Описание** — опциональный параметр.
* Блок **Назначение**:
    * **Назначение** — значения `Object Storage`, `Cloud Logging`, `Data Streams` или `EventRouter`.
    * Для значения `Object Storage`:
        * **Бакет** — бакет.
        * **Префикс объекта** — необязательный параметр, участвует в [полном имени](format.md#log-file-name) файла аудитного лога.
        * **Ключ шифрования** — симметричный [ключ шифрования](../../kms/concepts/key.md) Yandex Key Management Service, которым будет зашифрован бакет.
    * Для значения `Cloud Logging`:
        * **Лог-группа** — лог-группа.
    * Для значения `Data Streams`:
        * **Поток данных** — поток данных.
        * **Кодек** — метод сжатия событий при записи в поток данных Data Streams.

            Если скорость записи потока событий в Data Streams более 1 МБ/с, включите сжатие. Это сократит объем передаваемых данных, снизит риск перегрузки ([троттлинга](https://ru.wikipedia.org/wiki/Троттлинг)) отдельных сегментов YDS и повысит эффективность использования пропускной способности потока.
            
            Настройка сжатия доступна при [создании](../operations/create-trail.md) или [изменении](../operations/manage-trail.md) трейла через интерфейсы CLI, API или Terraform. Можно указать метод сжатия `GZIP` ([GNU Zip](https://wikipedia.org/wiki/Gzip)) или `ZSTD` ([Zstandard](https://wikipedia.org/wiki/Zstandard)). По умолчанию сжатия нет (`RAW`).
            
            Чтобы читать данные через собственный протокол YDS, дополнительно включите сжатие на читателе YDS. Протоколы HTTP Kinesis и Apache Kafka® пока не поддерживаются.
    * Для значения `EventRouter`:
        * **Коннектор** — [коннектор](../../serverless-integrations/concepts/eventrouter/connector.md) шины EventRouter с типом источника `Audit Trails`.
* Блок **Сервисный аккаунт** — сервисный аккаунт, от имени которого будет выполняться загрузка аудитных логов в бакет, лог-группу или поток данных. Если аккаунту нужны дополнительные роли, появится предупреждение с перечнем ролей.
* Блок **Сбор событий c уровня конфигурации**:
    * **Статус** — включение и выключение сбора аудитных логов уровня конфигурации.
    * **Ресурс** — значения `Организация`, `Облако` или `Каталог`.
    * Для значения `Организация`:
        * **Организация** – имя текущей организации. Значение подставляется автоматически.
    * Для значения `Облако`:
        * **Облако** — имя облака, в котором находится текущий трейл. Значение подставляется автоматически.
        * **Каталог** — каталоги, для ресурсов в которых трейл будет собирать аудитные логи уровня конфигурации. Если не указать ни один каталог, то трейл будет собирать аудитные логи всех ресурсов в облаке.
    * Для параметра `Каталог`:
        * **Каталог** — имя каталога, в котором находится трейл. Значение подставляется автоматически.
* Блок **Сбор событий с уровня сервисов**:
    * **Статус** — включение и выключение сбора аудитных логов уровня сервисов.
    * Список [сервисов](events-data-plane.md#services), для каждого из которых отдельно настраивается:
        * [Область](trail.md#collecting-area) сбора аудитных логов уровня сервисов.
        * Тип фильтра событий:
            * `Получать все` — для получения всех событий сервиса.
            * `Выбранные` — для получения только выбранных событий.
            * `Исключить` — для получения всех событий, кроме выбранных.
        * Список [событий](events-data-plane.md#dns), если выбран тип фильтра `Выбранные` или `Исключить`.


## Примеры использования {#examples}

* [Поиск событий в аудитных логах](../tutorials/search-events-audit-logs/index.md)
* [Настройка дашбордов и алертов в Yandex Monitoring](../tutorials/alerts-monitoring.md)
* [Настройка реагирования в Yandex Cloud Logging и Yandex Cloud Functions](../tutorials/logging-functions.md)
* [Обработка аудитных логов Yandex Audit Trails](../tutorials/audit-trails.md)
* [Загрузка аудитных логов в MaxPatrol SIEM](../tutorials/maxpatrol/index.md)
* [Загрузка аудитных логов в SIEM Splunk](../tutorials/export-logs-to-splunk.md)
* [Загрузка аудитных логов в SIEM ArcSight](../tutorials/export-logs-to-arcsight.md)
* [Загрузка аудитных логов в SIEM KUMA с помощью консоли управления, CLI или API](../tutorials/audit-trails-events-to-kuma/console.md)


## Что дальше {#whats-next}

* Узнайте о [формате аудитных логов](format.md).
* Ознакомьтесь с [логами диагностики трейла](diagnostics.md).
* Узнайте о [событиях](events.md).