Isilon: Isilon-valvonnan tietosisällön arvojen luettelo

Summary: Luettelo mahdollisista Isilon-arvoista, jotka näkyvät isi_audit tulosten raakatuotoksissa.

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.
Check out other resources

Instructions

Seuraavassa on luettelo mahdollisista Isilon-arvoista, jotka näkyvät isi_audit tulosten raakatuotoksissa.

Nämä tiedot eivät ole versiokohtaisia: jotkin niistä koskevat vain tiettyjä OneFS-versioita, ja myöhemmissä versioissa on laajennetut vaihtoehdot. Tämä luettelo on tarkoitettu viitteeksi tarkasteltaessa yksittäisiä auditointitapahtumia yleensä.

Kun käytät Isilon-protokollan tarkastusjärjestelmää, voit valvoa ja seurata käyttäjien toimia OneFS-tiedostojärjestelmässä SMB- ja NFS-protokollissa.

Tallennetut toiminnot näyttävät raakamuodossa tältä: (OneFS-versioiden ja aikakausien välillä on odotettavissa jonkin verran vaihtelua):

 

{"id":"8f0ae523-1741-12ea-8d1f-010e1ea7b298","timestamp":1575538065995502,"payloadType":"c411a642-c139-4c7a-be58-93680bc20b41","payload":{"protocol":"NFS","zoneID":5,"zoneName":"AuditedZone","eventType":"delete","isDirectory":false,"clientIPAddr":"10.51.221.92","fileName":"\\ifs\\home\\user00001\\staging\\datareview\\infa\\client\\Temp\\datapoint_file.txt","userSID":"S-1-22-2000","userID":2000,"ntStatus":0,"fsId":1,"partialPath":"datapoint_ file.txt","rootInode":4512436961,"inode":5128815920}}     
 
{"id":"87b8bbh5-181c-71ea-8d1f-000g1ia7j295","timestamp":1575522001272734,"payloadType":"c411a642-c139-4c7a-be58-93680bc20b41","payload ":"protocol":"NFS","zoneID":5,"zoneName":"AuditedZone","eventType":"create","createResult":"OPENED","isDirectory":true,"wantAccess":0,"clientIPAddr":"10.14.73.184","createDispo":1,"userSID":"S-1-22-1-2000","userID":2000,"fileName":"\\ifs\\data\\project00004\\dev\\logs\\ABC\\that-one-project-data","ntStatus":0," fsId":1,"inode":4725492968}}


Tässä yhteydessä termit määritellään seuraavasti:
  • clientIPAddr: Toiminnon suorittavan käyttäjän IP-osoitteen merkkijono.
  • asiakasIp: Pyynnön käynnistäneen asiakkaan IP-osoite (tapahtuman aiheuttaja).
  • createDispo: Käyttäjän määrittämä luonti-/käyttötapa luonti-/avaushetkellä.
  • haluttu pääsy: Käyttäjän määrittämä haluttu käyttöoikeus luonti-/avaushetkellä.
  • encodedNewName: Koodattu uusi nimi, jos nimi nimetään uudelleen.
  • encodedPath: Tiedoston koodattu UNC-polku.
  • encodedRelativePath: Koodattu suhteellinen polku.
  • encodingType: Arvoille käytetty koodaus, jos arvo sisältää merkkejä, joita ei voi sisällyttää XML:ään.
  • Tapahtuma: Tapahtuma, joka aiheutti tarkistuksen.
  • Tiedostonimi: Tiedoston absoluuttisen polun merkkijono tai "UNKNOWN", jos seuranta ei saa polkua. Polku käyttää UNC-tyylisiä polun erottimia ("\\").
  • Tiedostokoko: Tiedoston koko käsittelyn aikana.
  • Lippu: Yksi edellä määritellyistä CEPP_FLAG_XXX.
  • FSID: Päähakemiston tiedostojärjestelmätunnus. Tämä kokonaisluku on kyseisen tiedostojärjestelmän ID-arvo (oletus 1 ).
  • id: Klusterin GUID-tunnukseen ja auditoituun vyöhyketunnukseen perustuva arvo, joka on yksilöllinen auditoidulle tapahtumalle. Tämä on kyseisen tapahtuman UUID.
  • inode: Tiedoston tai hakemiston inodin kokonaisluku.
  • isDirectory: Totuusarvo, josta käy ilmi, koskeeko tapahtuma tiedostoa vai hakemistoa.
  • newFSId: kohdepäähakemiston uusi tiedostojärjestelmätunnus (jos eri kuin fsId) (nimeä uudelleen).
  • uusiNimi: Uusi nimi (uudelleennimeämistoiminnossa).
  • newParentInode: Päähakemiston (nimeä uudelleen) inodi.
  • ntTila: Toiminnon NTSTATUS-koodi. 0 on STATUS_SUCCESS.
  • ownerId: Tiedoston omistajan tunnus.
  • ownerSid: Tiedoston omistajan sid.
  • parentInode: Sisältävän hakemiston inodi.
  • partialPath: Tiedoston tai hakemiston suhteellisen polun merkkijono. Polku käyttää UNC-tyylisiä polun erottimia ("\\").
  • partialPathParentInode: yllä olevan osittaisen polun vanhempi inodi.
  • path: Tiedoston UNC-nimi (tai dir) - absoluuttinen polku.
  • Hyötykuorma: Täydellinen toimitettu auditointitapahtuma, joka kiteytti suurimman osan näistä arvoista.
  • payloadType: Merkkijono "4b66b1eb-6e1a-416d-b80c-5a642a603a0b: Protokollan aktiviteettitapahtumat.
  • payloadType: Merkkijono "7afb8d54-0aa7-4ed4-9691-341313ee37e3: Auditointiajurille ladatut auditointitapahtumat.
  • payloadType: Merkkijono "bbce6a72-a92d-4330-a1f3-e9fd5aed8152: Suorita auditointiohjain purkamalla valvontatapahtumat.
  • payloadType: Merkkijono "c411a642-c139-4c7a-be58-93680bc20b41: Protokollatietotapahtumat.
  • Protokolla: Sen protokollan merkkijono, jossa toiminto tapahtui. OneFS 7.2 -versiossa ja uudemmissa on yleensä jokin seuraavista: "CIFS" (SMB1); "SMB2"; "NFS" (NFSv3); "NFS4"; "HDFS".
  • relativePath: Tiedoston UNC-nimi (tai hakemisto) sellaisena kuin asiakas käyttää sitä.
  • rootInode: Sen hakemiston inodin kokonaisluku, jossa partialPath on.
  • serverIp: Sen palvelimen IP-osoite, johon tapahtuma tallennettiin.
  • Palvelin: Palvelimen nimi, jossa tapahtuma ilmeni. Palvelimen IP NFS: lle.
  • Jaa: Jaa palvelimella. NFS:n vientinimi.
  • Aikaleima: Aika, jolloin tapahtuma tapahtui palvelimessa. Se on 64-bittinen arvo, jossa korkeat 32 bittiä edustavat aikaa ja alemmat 32 bittiä mikrosekunteja. Muodossa: 0x1234abcd1234abcd
  • type: Tiedosto, hakemisto jne.
  • Käyttäjätunnus: Toiminnon suorittavan käyttäjän UID-tunnuksen kokonaisluku. (OneFS 7.2 ja uudemmat)
  • userSID: Toiminnon suorittavan käyttäjän SID-tunnuksen merkkijono.  ("userSID" ei ole käytettävissä kirjautumisvirhetapahtumissa.)
  • zoneID: OneFS-käyttöoikeusvyöhykkeen tunnuksen kokonaisluku, jossa toiminto suoritetaan/jonka kautta toiminto suoritetaan.
  • zoneName: OneFS-tukialueen nimen merkkijono sen tapahtuman aikana, jolloin toiminto suoritetaan tai jonka kautta toiminto suoritetaan.




Lisäksi on muutamia muita arvoja ja kenttiä, joissa voi olla muutamia mahdollisia muuttujia. 

Joillakin eventType-objektin tapahtumatyypeillä on ylimääräisiä tietosisältökenttiä, jotka on lueteltu alla olevien tyyppien alla:
 
eventType = luo: Tiedoston tai hakemiston luomiseen tai avaamiseen.

eventType = sulje: Tiedoston tai hakemiston sulkemiseen.
Ylimääräisen hyötykuorman kentät: (Merkityksellinen vain, kun "isDirectory on epätosi / tiedostoille.)
  • tavua Lue: Kokonaisluku luettujen tavujen kokonaismäärästä avaamisen / luomisen jälkeen.
  • kirjoitetut tavut: Avaamisen jälkeen kirjoitettujen tavujen kokonaismäärä.
  • lukujen lukumäärä: Kokonaisluku, joka kuvaa tiedostoon avaamisen jälkeen tehtyjen lukujen kokonaismäärää.
  • numberOfWrites: Tiedostoon tehtyjen kirjoitusten kokonaismäärän kokonaisluku.
eventType = lue: Tiedoston ensimmäinen lukeminen sen avaamisen jälkeen.
Ylimääräisen hyötykuorman kentät:
  • tavua Lue: Ensimmäisessä luvussa luettujen tavujen kokonaismäärä.
eventType = kirjoita: Ensimmäinen tiedosto sen avaamisen jälkeen.
Ylimääräisen hyötykuorman kentät:
  • kirjoitetut tavut: Ensimmäisessä kirjoituksessa kirjoitettujen tavujen lukumäärän kokonaisluku.
eventType = nimeä uudelleen: Nimeä tiedosto tai hakemisto uudelleen.
Ylimääräisen hyötykuorman kentät:
  • newFileName: Uuden tiedostonimen tai UNKNOWN-nimen absoluuttisen polun merkkijono. Polku käyttää UNC-tyylisiä polun erottimia ("\\").
  • newPartialPath: Uuden tiedostonimen suhteellisen polun merkkijono. Polku käyttää UNC-tyylisiä polun erottimia ("\\").
  • newRootInode: Uuden päähakemiston inodin kokonaisluku, joka sisältää arvon "newPartialPath".
eventType = get-security: Hae suojaustiedot/käyttöoikeudet tiedostosta tai hakemistosta.
                              (ei ylimääräisiä kenttiä)

eventType = set-security: Määritä suojaustiedot / käyttöoikeudet tiedostolle tai hakemistolle.
(ei ylimääräisiä kenttiä)
 
eventType = poista: Poista tiedosto tai hakemisto.
(ei ylimääräisiä kenttiä)
 
eventType = logon: Kirjautuminen sisään.
(ei ylimääräisiä kenttiä)
 
eventType = uloskirjaus: Kirjautuminen ulos.
(ei ylimääräisiä kenttiä)
 
eventType = puuyhteys: SMB-puuyhteyden muodostaminen.
(ei ylimääräisiä kenttiä)



Auditointitapahtumille, joiden payloadType on = "7afb8d54-0aa7-4ed4-9691-341313ee37e3" (valvonta-ajurin lataamat valvontatapahtumat).

Nämä ovat valvontatapahtumia, jotka ilmaisevat, milloin valvontasuodattimen ohjain ladattiin.

Nämä valvontatapahtumat sisältävät hyötykuorman, joka sisältää JSON-merkkijonon, joka määrittää, mikä valvontaohjain on ladattu.

  • Valvonta-ajuri: flt_audit ladattu: PK-yrityksen auditointiohjain ladattu.
  • Auditointiohjain: flt_audit_nfs ladattu: NFS-auditointiohjain ladattu.
  • Valvonta-ajuri: flt_audit_hdfs ladattu: HDFS-auditointiohjain ladattu.



Auditointitapahtumille, joiden payloadType on = "bbce6a72-a92d-4330-a1f3-e9fd5aed8152" (valvonta-ajurin purkamisen valvontatapahtumat).

Nämä ovat valvontatapahtumia, jotka ilmaisevat, milloin valvontasuodattimen ohjain purettiin.

Nämä valvontatapahtumat sisältävät hyötykuorman, joka sisältää JSON-merkkijonon, joka määrittää, mikä valvonta-ajuri pysäytettiin.

  • Valvontaohjaimen sammuttaminen: flt_audit: PK-yritysten valvonta-ajuri pysäytetty.
  • Valvontaohjaimen sammuttaminen: flt_audit_nfs: NFS-auditointiohjain ladattu.
  • Valvontaohjaimen sammuttaminen: flt_audit_hdfs: HDFS-auditointiohjain ladattu.


eventType: Tarkastustapahtuman merkkijono, tyyppi/toimen tyyppi. Yksi seuraavista:
  • Luoda: Luo tai avaa tiedosto tai hakemisto.
  • Lähellä: Sulje tiedosto tai hakemisto.
  • Lukea: Lue tiedosto ensimmäisen kerran sen avaamisen jälkeen.
  • Kirjoittaa: Kirjoita tiedostoon ensimmäisen kerran sen avaamisen jälkeen.
  • Nimeä: Nimeä tiedosto tai hakemisto uudelleen.
  • Poista: Poista tiedosto tai hakemisto.
  • Set-Security: Määritä suojaustiedot / käyttöoikeudet tiedostolle tai hakemistolle.
  • Hanki suojaus: Hae suojaustiedot/käyttöoikeudet tiedostoon tai hakemistoon.


createDispo: Luo/avaa-disposition kokonaisluku. Tämä on pyyntö siitä, miten tiedosto / hakemisto tulisi avata tai luoda:
  • 0 - FILE_SUPERSEDE - Korvaa olemassa oleva tiedosto tai luo se.
  • 1 - FILE_OPEN - Avaa olemassa oleva tiedosto tai epäonnistui.
  • 2 - FILE_CREATE - Luo tiedosto, jota ei ole olemassa tai virhe.
  • 3 - FILE_OPEN_IF - Avaa olemassa oleva tiedosto tai luo se.
  • 4 - FILE_OVERWRITE - Avaa ja korvaa olemassa oleva tiedosto tai epäonnistui.
  • 5 - FILE_OVERWRITE_IF - Avaa ja korvaa olemassa oleva tiedosto tai luo se.


createTulos: Luo/avaa-tuloksen merkkijono. Yksi seuraavista:
  • KORVATTU: Tiedosto oli olemassa ja korvattiin.
  • AVATTU: Tiedosto oli olemassa ja avattiin.
  • LUOTU: Tiedostoa ei ollut ja se luotiin.
  • OLEMASSA: Tiedosto on olemassa, mutta sitä ei ole luotu.
  • DOES_NOT_EXIST: Tiedostoa ei ollut eikä sitä avattu.
  • TUNTEMATON: Tuntematon.


haluttu pääsy: Bittitason yhdistetty kokonaisluku seuraavien haluttu käyttöoikeus:

Affected Products

Isilon

Products

Isilon
Article Properties
Article Number: 000019850
Article Type: How To
Last Modified: 18 Dec 2022
Version:  4
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.