PowerFlex 4.X: configure registros de auditoría en SVM y nodos de solo almacenamiento PowerFlex

Configurar registros de auditoría en SVM y nodos de solo almacenamiento PowerFlex

Utilice este procedimiento para configurar y mantener los registros de auditoría de un usuario en un archivo independiente

commands.log

 en las SVM y los nodos de solo almacenamiento PowerFlex y transmitirlos a los servidores remotos.

Pasos

1. Inicie sesión en cada SVM o en cada nodo de solo almacenamiento PowerFlex mediante:

SSH

2. Ejecute los siguientes comandos para registrar todos los comandos ejecutados por los usuarios:
   1. Edite el archivo de configuración de tiempo de ejecución BASH en todo el sistema:

#sudo -e /etc/bash.bashrc

1. 2. Agregue lo siguiente al final del archivo:

export PROMPT_COMMAND='RETRN_VAL=$?;logger -p security.debug "$(whoami) [$$]: $ (history 1 | sed "s/^[ ]*[0-9]\+[ ]*//" ) [$RETRN_VAL]"'

1. 3. Presione Esc+:wq para guardar el archivo.
   4. Para configurar el registro de auditoría para local6 con un nuevo archivo como 

      commands.log

       

      Ejecute el siguiente comando para editar el archivo de configuración de tiempo de ejecución de BASH del registro del sistema remoto:

# sudo -e /etc/rsyslog.d/bash.conf

1. 5. Ingrese lo siguiente:

security.* /var/log/commands

1. 6. Presione Esc+:wq para guardar el archivo.

3. Para reenviar el archivo de registro de auditoría 

   /var/log/audit/audit.log

      En el servidor de registro del sistema remoto, edite /etc/audit/ plugins.d/syslog.conf y haga lo siguiente:
   1. Establezca active=yes
   2. Agregue seguridad en los argumentos:

Por ejemplo:

#vi /etc/audit/plugins.d/syslog.conf
active = yes # changes made from No to Yes direction = out
path = /sbin/audisp-syslog type = always
args = LOG_INFO LOG_security # append security to write the audit logs to remote server
format = string

4. Para transmitir los registros al servidor remoto:
   1. Edite el archivo rsyslog.conf file:

# vi /etc/rsyslog.conf

1. 2. Agregue las siguientes líneas para enrutar los registros al servidor remoto:

$ModLoad imfile
$InputFileName /var/log/audit/audit.log
$InputFileTag tag_audit_log:
$InputFileStateFile audit_log
$InputFileSeverity info
$InputRunFileMonitor
local6.* @<remoteserverIP>:514  #Remote server IP address to be updated

En PowerFlex Manager, se admiten las conexiones TCP y UDP, y el número de puerto 514 se utiliza para la transferencia del registro del sistema.

5. Reinicie el servicio de registro del sistema remoto:

systemctl restart rsyslog.service

6. Para administrar el archivo de registro /etc/logrotate.conf:

a. Para editar el archivo, escriba 

# vi /etc/logrotate.conf.

b. Actualice las siguientes líneas:

## AUDIT LOG###
/var/log/commands { compress
dateext maxage 14
rotate 2 missingok notifempty size +4096k
}

c. Tipo :wq para guardar el archivo.

Para obtener la guía completa, consulte la Guía de administración del dispositivo Dell PowerFlex con PowerFlex 4.x