PowerFlex 4.X: Konfigurace protokolů auditu v SVM a uzlech PowerFlex pouze pro ukládání dat

Konfigurace protokolů auditu v SVM a uzlech PowerFlex pouze pro ukládání dat

Tento postup slouží ke konfiguraci a správě protokolů auditování uživatele v samostatném souboru.

commands.log

 v uzlech SVM a PowerFlex pouze pro ukládání dat a přeneste je na vzdálené servery.

Postup

1. Přihlaste se do každého uzlu SVM nebo PowerFlex pouze pro ukládání pomocí příkazu:

SSH

2. Spuštěním následujících příkazů zaznamenejte všechny příkazy spuštěné uživateli:
   1. Upravte konfigurační soubor modulu runtime BASH pro celý systém:

#sudo -e /etc/bash.bashrc

1. 2. Na konec souboru připojte následující kód:

export PROMPT_COMMAND='RETRN_VAL=$?;logger -p security.debug "$(whoami) [$$]: $ (history 1 | sed "s/^[ ]*[0-9]\+[ ]*//" ) [$RETRN_VAL]"'

1. 3. Stisknutím kláves Esc+:wq soubor uložte.
   4. Nastavení protokolování auditu pro local6 s novým souborem jako 

      commands.log

       

      Spuštěním následujícího příkazu upravte konfigurační soubor modulu runtime Remote Syslog BASH:

# sudo -e /etc/rsyslog.d/bash.conf

1. 5. Zadejte následující údaje:

security.* /var/log/commands

1. 6. Stisknutím kláves Esc+:wq soubor uložte.

3. Předání souboru protokolu auditu 

   /var/log/audit/audit.log

      na vzdálený server syslog, upravte /etc/audit/ plugins.d/syslog.conf a postupujte následovně:
   1. Nastavte active=yes
   2. Připojit zabezpečení v argumentech:

Například:

#vi /etc/audit/plugins.d/syslog.conf
active = yes # changes made from No to Yes direction = out
path = /sbin/audisp-syslog type = always
args = LOG_INFO LOG_security # append security to write the audit logs to remote server
format = string

4. Přenos protokolů na vzdálený server:
   1. Upravte rsyslog.conf :

# vi /etc/rsyslog.conf

1. 2. Přidejte následující řádky pro směrování protokolů na vzdálený server:

$ModLoad imfile
$InputFileName /var/log/audit/audit.log
$InputFileTag tag_audit_log:
$InputFileStateFile audit_log
$InputFileSeverity info
$InputRunFileMonitor
local6.* @<remoteserverIP>:514  #Remote server IP address to be updated

V nástroji PowerFlex Manager jsou podporována připojení TCP i UDP a pro přenos syslogu se používá port číslo 514 .

5. Restartujte vzdálenou službu syslog:

systemctl restart rsyslog.service

6. Správa souboru protokolu /etc/logrotate.conf:

A. Chcete-li soubor upravit, zadejte 

# vi /etc/logrotate.conf.

B. Aktualizujte následující řádky:

## AUDIT LOG###
/var/log/commands { compress
dateext maxage 14
rotate 2 missingok notifempty size +4096k
}

c. Typ :wq soubor uložte.

Úplnou příručku naleznete v příručce pro správu zařízení Dell PowerFlex se systémem PowerFlex 4.x.