Configurarea auditului ownCloud Enterprise și verificarea jurnalelor

Pentru a înregistra acțiunile utilizatorilor și administratorilor în ownCloud Enterprise, instalați și activați aplicația Enterprise-only Auditing, apoi direcționați admin_auditmesajele din jurnal către un fișier pe care administratorii îl pot proteja și revizui. Activarea aplicației este necesară, dar nu este suficientă în sine: nivelul de jurnal al serverului ownCloud trebuie să fie setat la 1 (Info) sau 0 (Debug), cu excepția cazului în care o condiție separată de jurnal direcționează mesajele de audit către propriul fișier.

Știți de ce „jurnal de activitate” aveți nevoie

Aplicația Activitate și aplicația Auditare servesc unor scopuri diferite. Activitatea este fluxul de fișiere și evenimente de colaborare orientat către utilizator. Aplicația Enterprise Auditing înregistrează acțiunile selectate ale utilizatorilor și administratorilor ca intrări structurate în jurnal, destinate revizuirii și analizei operaționale. Instalarea sau configurarea singură a aplicației Activitate nu activează pista de audit Enterprise. Dacă obiectivul dvs. este o înregistrare trasabilă a conectărilor, operațiunilor cu fișierele, modificărilor de partajare, administrării utilizatorilor, modificărilor aplicației sau comenzilor OCC, activați Auditarea. Documentația actuală de auditare ownCloud Server 11 listează aceste categorii de evenimente.

Verificat: aplicația este disponibilă exclusiv pentru întreprinderi și prin intermediul ownCloud Marketplace. Depinde de context: ecranul exact de gestionare a aplicației și metoda de configurare variază în funcție de versiunea și implementarea ownCloud. Acțiune: confirmați versiunea serverului și dacă abonamentul Enterprise include aplicația înainte de a depana o listă de aplicații lipsă. Pagina funcției de auditare ownCloud o identifică și ca o capacitate Enterprise.

Activează auditarea în ownCloud

1. Confirmați că aplicația este instalată. În setările aplicației ownCloud, localizați Auditing. Pe ownCloud 10.16, ghidul oficial spune să o descărcați din Marketplace și să o activați în setările aplicației; documentația ownCloud 11 spune să activați aplicația acolo. Dacă lipsește, verificați drepturile Enterprise, accesul Marketplace și compatibilitatea aplicației pentru versiunea serverului dvs. înainte de a instala un pachet.
2. Activați aplicația. Folosiți setările aplicației ca administrator și confirmați că auditarea este activată. În funcție de implementare și versiune, un administrator din linia de comandă poate, de asemenea, să inspecteze starea aplicației cu occ app:list; utilizați invocarea acceptată a instalării occ. Nu presupuneți că un flux de activitate al interfeței web înseamnă că aplicația de auditare este activă.
3. Alegeți unde vor fi salvate intrările de audit. Pentru o verificare rapidă, ownCloud poate scrie intrări de audit conform standardului owncloud.log. Pentru operațiunile în desfășurare, un fișier de audit restricționat separat este mai ușor de direcționat către un colector de jurnale și de revizuit independent.
4. Setați un nivel de jurnal eficient sau o rută dedicată. Păstrați nivelul general de jurnal la 1 sau 0 dacă doriți evenimente de audit în jurnalul standard. Alternativ, adăugați o condiție pentru ID-ul aplicației admin_auditcare scrie într-un fișier dedicat. Sintaxa depinde de utilizarea ownCloud 11 în Docker sau a unei instalări PHP 10.16.
5. Generați un eveniment de testare inofensiv și verificați-l. Conectați-vă sau creați un fișier de testare temporar, apoi inspectați destinația selectată a jurnalului pentru o nouă intrare de audit înainte de a vă baza pe configurație.

Dirijați înregistrările de audit către un fișier separat

ownCloud Server 11 în Docker

Ghidul actual ownCloud 11 documentează OWNCLOUD_LOG_CONDITIONSvariabila de mediu. Adăugați-o în mediul Compose al serviciului ownCloud și ajustați calea fișierului către o locație persistentă disponibilă în container:

OWNCLOUD_LOG_CONDITIONS=[{"apps":["admin_audit"],"loglevel":0,"logfile":"/mnt/data/files/admin_audit.log"}]

Exemplul utilizează calea de montare a datelor Docker documentată de ownCloud. Păstrați valoarea JSON validă atunci când o adăugați la YAML și utilizați volumul persistent montat al implementării, astfel încât o înlocuire a containerului să nu elimine jurnalul. Aplicați modificarea Compose utilizând procesul normal de implementare, apoi confirmați că serviciul pornește și fișierul este creat. Condiția separată înregistrează mesajele de audit indiferent de nivelul global al jurnalului, conform ghidului de auditare Server 11 .

Instalare PHP pentru ownCloud Server 10.16

Pentru configurația bazată pe PHP 10.16 documentată de ownCloud, adăugați o log.conditionsintrare în config.phpfișierul activ și înlocuiți calea exemplu. Utilizatorul serverului web trebuie să poată scrie în fișierul țintă și în directorul său:

'log.conditions' => [
    [
        'apps' => ['admin_audit'],
        'logfile' => '/var/www/owncloud/data/admin_audit.log'
    ]
],

Faceți o copie de rezervă config.phpînainte de editare și nu creați o log.conditionscheie duplicată dacă există deja una. Verificați sintaxa PHP și permisiunile fișierelor după modificare. Nu copiați matricea PHP 10.16 într-o variabilă de mediu Docker sau valoarea mediului JSON Server 11 într-un fișier de configurare PHP; acestea sunt interfețe de implementare diferite. Consultați instrucțiunile oficiale de auditare ownCloud 10.16 .

Ce dovedește – și ce nu – pista de audit

Verificat: evenimentele documentate includ autentificarea și deconectarea, operațiunile de creare/ștergere/mutare a fișierelor, partajarea modificărilor, etichetele, comentariile, administrarea utilizatorilor și grupurilor, setările utilizatorilor, uzurparea identității, activarea aplicațiilor și execuția OCC. Intrările includ câmpuri specifice evenimentului și sunt structurate pentru analiză; ownCloud descrie înregistrări și integrări compatibile cu JSON, cum ar fi Splunk. Acțiune: creați un eveniment de test dintr-o categorie pe care echipa dvs. trebuie să o auditeze și să confirme că apar utilizatorul, acțiunea, ora și contextul fișierului așteptate.

Neînțelegere: activarea auditării creează automat un admin_audit.logfișier separat. Nu se întâmplă acest lucru; valoarea implicită poate fi jurnalul standard ownCloud, cu excepția cazului în care configurați o destinație separată. Acțiune: verificați calea și volumul real al fișierului, în loc să vă bazați pe starea activată a aplicației.

Limită: un jurnal de evenimente nu este, în sine, un program complet de conformitate sau o garanție că fiecare acțiune dintr-o implementare personalizată este înregistrată. Evenimentele disponibile, versiunea aplicației, filtrele, nivelul jurnalului și controalele de retenție afectează ceea ce puteți revizui. Acțiune: comparați acoperirea evenimentelor cu politica dvs., decideți controalele de retenție și acces și transmiteți înregistrările importante către un sistem central de înregistrare securizat corespunzător, dacă cerințele dvs. impun păstrarea independentă. Această recomandare finală de control este o garanție operațională; documentația aplicației ownCloud descrie înregistrarea și integrarea evenimentelor, nu o certificare că o anumită configurație îndeplinește o cerință legală.

Verificați accesul și colectarea continuă

După ce apare evenimentul de test, confirmați că fișierul de audit rezistă unei reporniri a serviciului sau unei înlocuiri a containerului, că numai administratorii și colectorii de jurnale autorizați îl pot citi și că rotația jurnalelor nu întrerupe capacitatea aplicației de a scrie. Dacă utilizați jurnalul standard, pagina de administrare ownCloud oferă o opțiune de Descărcare fișier jurnal. Dacă este configurat într-un fișier separat, documentația specifică recuperarea manuală a fișierului respectiv. Păstrați marcajul temporal al evenimentului, actorul, acțiunea și calea ca verificare de acceptare și revizuiți din nou jurnalele după actualizări sau modificări ale configurației de înregistrare în jurnal.