PowerFlex 4.X: Налаштуйте журнали аудиту в SVM та вузлах зберігання лише PowerFlex

Налаштуйте журнали аудиту в SVM та вузлах лише зберігання PowerFlex

Використовуйте цю процедуру для налаштування та підтримки журналів аудиту користувача в окремому файлі

commands.log

 у SVM та вузлах лише зберігання PowerFlex і передають їх віддаленим серверам.

Кроки

1. Увійдіть у кожен вузол SVM або PowerFlex, що працює лише з пам'яттю, користуючись:

SSH

2. Виконайте наступні команди для запису всіх команд, виконаних користувачами:
   1. Відредагуйте системний файл конфігурації BASH:

#sudo -e /etc/bash.bashrc

1. 2. Додайте до кінця файлу наступне:

export PROMPT_COMMAND='RETRN_VAL=$?;logger -p security.debug "$(whoami) [$$]: $ (history 1 | sed "s/^[ ]*[0-9]\+[ ]*//" ) [$RETRN_VAL]"'

1. 3. Натисніть Esc+:wq , щоб зберегти файл.
   4. Щоб налаштувати журнал аудиту для local6 з новим файлом як 

      commands.log

       

      виконайте наступну команду для редагування віддаленого файлу конфігурації BASH у syslog:

# sudo -e /etc/rsyslog.d/bash.conf

1. 5. Вводьте наступне:

security.* /var/log/commands

1. 6. Натисніть Esc+:wq , щоб зберегти файл.

3. Щоб пересилати файл журналу аудиту 

   /var/log/audit/audit.log

      До віддаленого сервера syslog, редагувати /etc/audit/ plugins.d/syslog.conf і робити наступне:
   1. Множина active=так
   2. Додайте безпеку в args:

Приклад:

#vi /etc/audit/plugins.d/syslog.conf
active = yes # changes made from No to Yes direction = out
path = /sbin/audisp-syslog type = always
args = LOG_INFO LOG_security # append security to write the audit logs to remote server
format = string

4. Щоб передати журнали на віддалений сервер:
   1. Редагувати rsyslog.conf Файл:

# vi /etc/rsyslog.conf

1. 2. Додайте такі рядки для маршрутизації журналів на віддалений сервер:

$ModLoad imfile
$InputFileName /var/log/audit/audit.log
$InputFileTag tag_audit_log:
$InputFileStateFile audit_log
$InputFileSeverity info
$InputRunFileMonitor
local6.* @<remoteserverIP>:514  #Remote server IP address to be updated

У PowerFlex Manager підтримуються як TCP, так і UDP-з'єднання, а для syslog-передачі використовується порт номер 514 .

5. Перезапустіть віддалений сервіс syslog:

systemctl restart rsyslog.service

6. Для керування файлом журналу /etc/logrotate.conf:

a. Щоб редагувати файл, введіть 

# vi /etc/logrotate.conf.

b. Оновіть наступні рядки:

## AUDIT LOG###
/var/log/commands { compress
dateext maxage 14
rotate 2 missingok notifempty size +4096k
}

c. Тип :wq щоб зберегти файл.

Повний посібник дивіться у Dell PowerFlex Appliance with PowerFlex 4.x Administration Guide