PowerScale: Trova le informazioni utente per chi invia continuamente password errata nel registro di controllo

Alcune applicazioni configurate male o attacchi informatici potrebbero tentare continuamente di accedere al cluster con la password errata. Ciò può causare il blocco dell'account in base ai criteri di sicurezza dell'utente. L'audit del protocollo OneFS consente di individuare le informazioni utente di queste richieste.

Nel cluster devono essere abilitate le funzioni di audit service e protocol auditing. 

L'utente deve eseguire l'audit per la zona di accesso pertinente per monitorare e l'evento di errore di accesso. È consigliabile evitare l'audit per troppi eventi in quanto possono influire sulle prestazioni di alcuni cluster.

Abilitare il servizio di audit:

isi services isi_audit_d enable

Abilitare la verifica del protocollo:

isi audit settings global modify --protocol-auditing-enabled=true

Aggiungere la zona di accesso pertinente per il monitoraggio:

isi audit settings global modify --audited-zones=Production

Aggiungere l'evento di errore di accesso nella zona di accesso:

isi audit settings modify --zone=Production --add-audit-failure=logon

Una volta configurato correttamente l'audit, quando si verifica il problema di accesso, l'utente può utilizzare "isi_audit_viewer" per eseguire ricerche nell'audit log.

Le ntstatus Codice errore in formato esadecimale:

STATUS_WRONG_PASSWORD = 0xC000006A

Nell'audit log, il ntstatus Il codice è in formato decimale. È necessario convertire il file 0xC0zzz06A al 3221zzz578.

Esempio di evento di audit relativo a un errore di accesso con la password errata:

[5: Fri Oct 24 02:15:47 2025] {"id":"354f003e-97f7-11ef-9d81-0050569b863c","timestamp":1730427347886092,"payloadType":"4b66b1eb-6e1a-416d-b80c-5a642a603a0b","payload":{"zoneID":1,"zoneName":"Production","eventType":"logon","clientIPAddr":"192.1xx.1.1x0","ntStatus":3221zzz578}}

Contenuto correlato:

• Articolo Dell Isilon: Come visualizzare gli audit log per OneFS? (per visualizzare questo articolo potrebbe essere necessario eseguire l'accesso come utente registrato del supporto Dell).
• Articolo Microsoft [MS-ERREF]: Valori NTSTATUS