PowerFlex 4.X: Konfigurer overvågningslogfiler i SVM'er og PowerFlex storage only-noder

Konfigurer overvågningslogfiler i SVM'er og PowerFlex storage only-noder

Brug denne procedure til at konfigurere og vedligeholde overvågningslogfiler for en bruger i en separat fil

commands.log

 i SVM'er og PowerFlex storage only-noder og overføre dem til fjernserverne.

Trin

1. Log på hver SVM- eller PowerFlex-storage only-node med:

SSH

2. Kør følgende kommandoer for at registrere alle de kommandoer, der udføres af brugerne:
   1. Rediger konfigurationsfilen for BASH-runtime i hele systemet:

#sudo -e /etc/bash.bashrc

1. 2. Tilføj følgende til slutningen af filen:

export PROMPT_COMMAND='RETRN_VAL=$?;logger -p security.debug "$(whoami) [$$]: $ (history 1 | sed "s/^[ ]*[0-9]\+[ ]*//" ) [$RETRN_VAL]"'

1. 3. Tryk på Esc+:wq for at gemme filen.
   4. Sådan konfigureres overvågningsloggen for local6 med en ny fil som 

      commands.log

       

      Kør følgende kommando for at redigere konfigurationsfilen syslog BASH runtime:

# sudo -e /etc/rsyslog.d/bash.conf

1. 5. Indtast følgende:

security.* /var/log/commands

1. 6. Tryk på Esc+:wq for at gemme filen.

3. Sådan videresendes overvågningslogfilen: 

   /var/log/audit/audit.log

      til den eksterne syslog-server, redigere /etc/audit/ plugins.d/syslog.conf og gør følgende:
   1. Indstil aktiv=ja
   2. Tilføj sikkerhed i args:

For eksempel:

#vi /etc/audit/plugins.d/syslog.conf
active = yes # changes made from No to Yes direction = out
path = /sbin/audisp-syslog type = always
args = LOG_INFO LOG_security # append security to write the audit logs to remote server
format = string

4. Sådan overføres logfilerne til fjernserveren:
   1. Rediger rsyslog.conf Fil:

# vi /etc/rsyslog.conf

1. 2. Tilføj følgende linjer for at dirigere logfilerne til fjernserveren:

$ModLoad imfile
$InputFileName /var/log/audit/audit.log
$InputFileTag tag_audit_log:
$InputFileStateFile audit_log
$InputFileSeverity info
$InputRunFileMonitor
local6.* @<remoteserverIP>:514  #Remote server IP address to be updated

I PowerFlex Manager understøttes både TCP- og UDP-forbindelser, og portnummer 514 bruges til syslog-overførsel.

5. Genstart syslog-fjerntjenesten:

systemctl restart rsyslog.service

6. Sådan administreres logfilen: /etc/logrotate.conf:

A. Hvis du vil redigere filen, skal du skrive 

# vi /etc/logrotate.conf.

B. Opdater følgende linjer:

## AUDIT LOG###
/var/log/commands { compress
dateext maxage 14
rotate 2 missingok notifempty size +4096k
}

c. Type :wq for at gemme filen.

Se administrationsvejledningen til Dell PowerFlex-enhed med PowerFlex 4.x for at få den fulde vejledning