PowerFlex 4.X：在 SVM 和 PowerFlex 僅限儲存節點中設定稽核記錄

在 SVM 和 PowerFlex 僅限儲存節點中設定稽核記錄

使用此過程在單獨的檔中配置和維護使用者的審核日誌

commands.log

 在 SVM 與 PowerFlex 僅限儲存節點中，並將其傳送到遠端伺服器。

步驟

1. 使用下列方式登入每個 SVM 或 PowerFlex 僅限儲存節點：

SSH

2. 執行以下命令以記錄使用者執行的所有命令：
   1. 編輯系統範圍的 BASH 執行時設定檔：

#sudo -e /etc/bash.bashrc

1. 2. 將下列內容附加到檔案結尾：

export PROMPT_COMMAND='RETRN_VAL=$?;logger -p security.debug "$(whoami) [$$]: $ (history 1 | sed "s/^[ ]*[0-9]\+[ ]*//" ) [$RETRN_VAL]"'

1. 3. 按下 Esc+：wq 儲存檔案。
   4. 使用 local6 設定稽核記錄，並將新檔案設為 

      commands.log

       

      執行下列命令以編輯遠端 syslog BASH 執行階段組態檔案：

# sudo -e /etc/rsyslog.d/bash.conf

1. 5. 輸入下列設定：

security.* /var/log/commands

1. 6. 按下 Esc+：wq 儲存檔案。

3. 轉寄稽核紀錄檔 

   /var/log/audit/audit.log

      若要遠端系統記錄伺服器，請編輯 /etc/audit/ plugins.d/syslog.conf 並執行以下操作：
   1. 設定 活動=是
   2. 在引數中附加 安全性 ：

例如：

#vi /etc/audit/plugins.d/syslog.conf
active = yes # changes made from No to Yes direction = out
path = /sbin/audisp-syslog type = always
args = LOG_INFO LOG_security # append security to write the audit logs to remote server
format = string

4. 將記錄傳送到遠端伺服器：
   1. 編輯 rsyslog.conf 檔案：

# vi /etc/rsyslog.conf

1. 2. 新增以下行以將紀錄路由到遠端伺服器：

$ModLoad imfile
$InputFileName /var/log/audit/audit.log
$InputFileTag tag_audit_log:
$InputFileStateFile audit_log
$InputFileSeverity info
$InputRunFileMonitor
local6.* @<remoteserverIP>:514  #Remote server IP address to be updated

在 PowerFlex Manager 中，支援 TCP 和 UDP 連線，且連接埠號碼 514 用於系統記錄傳輸。

5. 重新啟動遠端 syslog 服務：

systemctl restart rsyslog.service

6. 管理紀錄檔 /etc/logrotate.conf:

a.若要編輯檔案，請輸入 

# vi /etc/logrotate.conf.

b.更新下列各行：

## AUDIT LOG###
/var/log/commands { compress
dateext maxage 14
rotate 2 missingok notifempty size +4096k
}

c. 類型 :wq 以保存檔。

如需完整指南，請參閱 具備 PowerFlex 4.x 的 Dell PowerFlex 應用裝置管理指南