PowerFlex 4.X: configurazione degli audit log nelle SVM e nei nodi PowerFlex di solo storage

Configurazione degli audit log nelle SVM e nei nodi PowerFlex di solo storage

Utilizzare questa procedura per configurare e gestire gli audit log di un utente in un file separato

commands.log

 nelle SVM e nei nodi PowerFlex di solo storage e trasmetterli ai server remoti.

Procedura

1. Accedere a ciascuna SVM o nodo PowerFlex di solo storage utilizzando:

SSH

2. Utilizzare i seguenti comandi per registrare tutti i comandi eseguiti dagli utenti:
   1. Modificare il file di configurazione del runtime BASH a livello di sistema:

#sudo -e /etc/bash.bashrc

1. 2. Aggiungere quanto segue alla fine del file:

export PROMPT_COMMAND='RETRN_VAL=$?;logger -p security.debug "$(whoami) [$$]: $ (history 1 | sed "s/^[ ]*[0-9]\+[ ]*//" ) [$RETRN_VAL]"'

1. 3. Premere Esc+:wq per salvare il file.
   4. Per configurare la registrazione di controllo per local6 con un nuovo file come 

      commands.log

       

      eseguire il comando seguente per modificare il file di configurazione del runtime BASH syslog remoto:

# sudo -e /etc/rsyslog.d/bash.conf

1. 5. Immettere quanto segue:

security.* /var/log/commands

1. 6. Premere Esc+:wq per salvare il file.

3. Per inoltrare il file dell'audit log 

   /var/log/audit/audit.log

      Sul server syslog remoto, modificare /etc/audit/ plugins.d/syslog.conf e procedi come segue:
   1. Impostare active=yes
   2. Aggiungere la sicurezza negli argomenti:

Ad esempio:

#vi /etc/audit/plugins.d/syslog.conf
active = yes # changes made from No to Yes direction = out
path = /sbin/audisp-syslog type = always
args = LOG_INFO LOG_security # append security to write the audit logs to remote server
format = string

4. Per trasmettere i registri al server remoto:
   1. Modificare la proprietà rsyslog.conf file:

# vi /etc/rsyslog.conf

1. 2. Aggiungere le righe seguenti per instradare i registri al server remoto:

$ModLoad imfile
$InputFileName /var/log/audit/audit.log
$InputFileTag tag_audit_log:
$InputFileStateFile audit_log
$InputFileSeverity info
$InputRunFileMonitor
local6.* @<remoteserverIP>:514  #Remote server IP address to be updated

In PowerFlex Manager, sono supportate entrambe le connessioni TCP e UDP e per il trasferimento syslog viene utilizzata la porta numero 514 .

5. Riavviare il servizio syslog remoto:

systemctl restart rsyslog.service

6. Per gestire il file di registro /etc/logrotate.conf:

Un. Per modificare il file, digitare 

# vi /etc/logrotate.conf.

B. Aggiornare le righe seguenti:

## AUDIT LOG###
/var/log/commands { compress
dateext maxage 14
rotate 2 missingok notifempty size +4096k
}

c. Tipo :wq per salvare il file.

Per la guida completa, consultare la Guida all'amministrazione di Dell PowerFlex Appliance with PowerFlex 4.x