auditlog

Startseite > Manual Pages > auditlog

Leave a comment Go to comments 7. Juli 2009 Chris Kranz Hinterlasse einen Kommentar schreiben Kommentare

Table of Contents

NAMEN

auditlog - enthält ein Auditprotokoll der letzten administrativen Tätigkeit

ÜBERSICHT

<logdir> / auditlog

<logdir> ist / etc / log für Filer und / logs für NetCache Appliances.

Wenn die Option auditlog.enable ist, protokolliert das System alle Eingaben an das System an der Konsole / Telnet-Shell und über rsh auf die auditlog Datei. Die Ausgabe der Daten durch Befehle auf diese Weise ausgeführt wird, auch auditlog protokolliert. Administrative Servlet Anrufungen (via HTTP, typischerweise von FilerView) und API Anrufe über das ONTAPI-Schnittstelle sind auch die auditlog protokolliert. Eine typische Meldung:

Mi 9. Februar 17.34.09 GMT [rshd_0: auditlog]: root: OUT: Datum: Mi 9. Februar 17.34.09 GMT 2000

Dies deutet darauf hin, dass es eine rsh Sitzung um Mi 9. Februar 17.34.09 GMT, das das Datum Befehl ausgeführt werden verursacht. Der Benutzer, der Befehl wurde root. Die Art der Anmeldung ist die Datenausgabe durch das System durch die out-Schlüsselwort angegeben.

Befehle auf dem Filer-Konsole eingegeben oder durchgeführt rsh werden durch die IN-Schlüsselwort als in bezeichnet:

Mi 9. Februar 17.34.03 GMT [rshd_0: auditlog]:: IN: rsh-Shell: RSH INPUT COMMAND Datum

Der Beginn und das Ende eines rsh-Sitzung sind speziell als in den abgegrenzten

Mi 9. Februar 17.34.09 GMT [rshd_0: auditlog]: root: START: rsh-Shell: orbit.eng.mycompany.com

und

Mi 9. Februar 17.34.09 GMT [rshd_0: auditlog]: root: END: rsh-Shell:

Die maximale Größe der auditlog Datei wird durch den auditlog.max_file_size Option kontrolliert. Wenn die Datei wird auf diese Größe ist es gedreht (siehe unten).

Jeden Samstag um 24:00, <logdir> / auditlog zu <logdir> / auditlog.0 bewegt wird, wird <logdir> / auditlog.0 zu <logdir> / auditlog.1 bewegt, und so weiter. Dieser Vorgang wird als Rotation. Auditlog-Dateien sind für insgesamt 6 Wochen gespeichert, wenn sie nicht überlaufen zu tun.

Wenn Sie Audit-Log-Nachrichten an einen Remote-Syslog-Host (eine, die Syslog-Meldungen akzeptiert über die BSD-Syslog-Protokoll in RFC 3164 spezifiziert) weiterleiten möchten, ändern Sie den Filer / etc / syslog.conf-Datei, um Nachrichten aus dem Filer ist "local7" forward Anlage zum Remote-Host. Tun Sie dies indem Sie eine Zeile wie:

local7 .*: @ 1.2.3.4

in / etc / syslog.conf. Eine IP-Adresse wurde hier verwendet, aber einen gültigen DNS-Namen verwendet werden könnten. Beachten Sie, dass ein DNS-Name kann fehlschlagen, wenn der Filer ist nicht in der Lage, den Namen in der Datei angegeben zu lösen. Wenn das passiert, werden Ihre Nachrichten nicht weitergeleitet werden.

Auf der Log-Host, müssen Sie den Syslog-Daemon-Konfigurationsdatei ändern, um syslog-Nachricht Verkehr aus dem "local7" Möglichkeit, die entsprechende Konfigurationsdatei umzuleiten. Das ist in der Regel indem Sie eine Zeile ähnlich der oben für den Filer gezeigt getan:

local7 .*: / Var / log / filer_auditlogs

Dann starten Sie den Daemon auf der Log-Host, oder senden Sie ein entsprechendes Signal an sie. In der Dokumentation für Ihre Log-Host-Syslog-Daemon für mehr Informationen darüber, wie die Konfiguration zu ändern machen.