PowerFlex 4.X: configurar logs de auditoria em SVMs e nós somente de armazenamento do PowerFlex

Configurar logs de auditoria em SVMs e nós somente de armazenamento do PowerFlex

Use este procedimento para configurar e manter logs de auditoria de um usuário em um arquivo separado

commands.log

 em SVMs e nós somente de armazenamento do PowerFlex e transmiti-los aos servidores remotos.

Passos

1. Faça log-in em cada SVM ou nó somente de armazenamento do PowerFlex usando:

SSH

2. Execute os seguintes comandos para registrar todos os comandos executados pelos usuários:
   1. Edite o arquivo de configuração de tempo de execução BASH em todo o sistema:

#sudo -e /etc/bash.bashrc

1. 2. Insira a seguinte entrada no final do arquivo:

export PROMPT_COMMAND='RETRN_VAL=$?;logger -p security.debug "$(whoami) [$$]: $ (history 1 | sed "s/^[ ]*[0-9]\+[ ]*//" ) [$RETRN_VAL]"'

1. 3. Pressione Esc+:wq para salvar o arquivo.
   4. Para configurar o log de auditoria para local6 com um novo arquivo como 

      commands.log

       

      Execute o seguinte comando para editar o arquivo de configuração de tempo de execução BASH syslog remoto:

# sudo -e /etc/rsyslog.d/bash.conf

1. 5. Informe o seguinte:

security.* /var/log/commands

1. 6. Pressione Esc+:wq para salvar o arquivo.

3. Para encaminhar o arquivo de log de auditoria 

   /var/log/audit/audit.log

      Para o servidor syslog remoto, edite /etc/audit/ plugins.d/syslog.conf E faça o seguinte:
   1. Defina active=yes
   2. Acrescente segurança no args:

Por exemplo:

#vi /etc/audit/plugins.d/syslog.conf
active = yes # changes made from No to Yes direction = out
path = /sbin/audisp-syslog type = always
args = LOG_INFO LOG_security # append security to write the audit logs to remote server
format = string

4. Para transmitir os logs para o servidor remoto:
   1. Edite o rsyslog.conf file:

# vi /etc/rsyslog.conf

1. 2. Adicione as seguintes linhas para rotear os logs para o servidor remoto:

$ModLoad imfile
$InputFileName /var/log/audit/audit.log
$InputFileTag tag_audit_log:
$InputFileStateFile audit_log
$InputFileSeverity info
$InputRunFileMonitor
local6.* @<remoteserverIP>:514  #Remote server IP address to be updated

No PowerFlex Manager, as conexões TCP e UDP são compatíveis, e o número da porta 514 é usado para a transferência do syslog.

5. Reinicie o servidor syslog remoto:

systemctl restart rsyslog.service

6. Para gerenciar o arquivo de log /etc/logrotate.conf:

Um. Para editar o arquivo, digite 

# vi /etc/logrotate.conf.

B. Atualize as seguintes linhas:

## AUDIT LOG###
/var/log/commands { compress
dateext maxage 14
rotate 2 missingok notifempty size +4096k
}

c. Tipo :wq para salvar o arquivo.

Para obter o guia completo, consulte o Guia de Administração do equipamento Dell PowerFlex com PowerFlex 4.x