Включение модуля full_audit, позволяет увидеть кто и к какому файлу обращался, кто создал, удалил или переименовал конкретный файл или каталог.
Количество сообщений, записываемых в лог-файлы, для всех VFS модулей может быть задано следующим параметром в секции [global]:
log level = 0 vfs:2
Если планируется сохранять лог-файлы длительное время, может быть полезным указание параметра
max log size = 0
Размер лог-файла задается в килобайтах. При достижении указанного значения файл будет переименован, путем добавления к имени файла расширения .old. Значение 0 отключает проверку размера (в этом случае необходимо самостоятельно позаботиться о размере лог-файла, к примеру, настроив соответсвующим образом logrotate).
Для активации модуля аудита, в секции, которая описывает расшаренный ресурс, добавляется строка
vfs objects = full_audit
В результате данные о доступе к файлам будут записываться в syslog, либо в лог-файл по умолчанию (log.smbd). Здесь же, через пробел, могут быть заданы другие VFS модули.
Можно указать дополнительные параметры модулю full_audit. Префикс, сообщений в лог-файле:
full_audit:prefix = %u|%I
(каждая строка будет начинаться с user|ip_adress)
Какие ошибки должны отображаться в лог-файле:
full_audit:failure = none
(не протоколируем ошибки)
Действия пользователей, которые записываются в лог-файл
full_audit:success = connect disconnect opendir mkdir rmdir closedir open close read pread write pwrite sendfile rename unlink chmod fchmod chown fchown chdir ftruncate lock symlink readlink link mknod realpath
Параметры, позволяющие управлять записью в журналы демоном syslogd:
full_audit:facility = local5 full_audit:priority = notice
Пример, в секции [global]:
# Подробный лог log level = 0 vfs:2 max log size = 0 vfs objects = full_audit recycle full_audit:prefix = %u|%I|%S full_audit:failure = none full_audit:success = mkdir rmdir open read pread write pwrite sendfile rename unlink lock full_audit:facility = local5 full_audit:priority = notice
- full_audit:prefix – %u – имя пользователя, %I – его IP, %S – имя расшареного ресурса (если ресурс один смысла в нем нет)
- full_audit:success – какие удачные события будут логироваться
- full_audit:failure – то же самое, что выше, только для ошибок
- full_audit:facility – категория событий syslog, в которую будут попадать записи
- full_audit:priority – приоритет записей для syslog. Для самбы будет достаточно приоритета notice, чем ее записи по сути и являются
Чтобы сообщения записывались в заданный файл, нужно добавить в
# vi /etc/rsyslog.conf ## SAMBA local5.notice -/var/log/samba/audit.log
- mkdir – создание директории;
- rmdir – удаление директории;
- open – в какую папку заходили или открывали файл;
- close – с какой папки вышли или закрыли файл;
- read, pread – чтение(открытие) файла;
- write,pwrite – запись (изменение) файла/папки;
- rename – переименование файла/папки;
- unlink – удаление.
В логах, будут в зависимости от действий такие записи:
Создание файла
Jan 5 13:57:29 sdata smbd_audit: lera|192.168.113.11|open|ok|w|Новый текстовый документ.txt
Создание директории
Jan 5 13:58:03 sdata smbd_audit: lera|192.168.113.11|mkdir|ok|Новая папка
Открытие директории
Jan 5 13:58:03 sdata smbd_audit: lera|192.168.113.11|open|ok|r|Новая папка
Открытие файла
Jan 5 13:59:32 sdata smbd_audit: lera|192.168.113.11|open|ok|r|Новый текстовый документ.txt
Сохранение файла
Jan 5 14:00:05 sdata smbd_audit: lera|192.168.113.11|open|ok|w|Новый текстовый документ.txt
Копирование файла на сетовой диск
Jan 5 13:54:52 sdata smbd_audit: lera|192.168.113.11|open|ok|w|200628876x7vPywJ5wrJsY5NUCXC_NVkHQbMrzQlv.pdf
Удаление файла
Jan 5 13:55:07 sdata smbd_audit: lera|192.168.113.11|unlink|ok|200628876x7vPywJ5wrJsY5NUCXC_NVkHQbMrzQlv.pdf
Удаление директории
Jan 5 14:00:58 sdata smbd_audit: lera|192.168.113.11|rmdir|ok|Новая папка
Прцесс копирование на диск каталога “stat” с файлами
Jan 5 14:01:56 sdata smbd_audit: lera|192.168.113.11|mkdir|ok|stat Jan 5 14:01:56 sdata smbd_audit: lera|192.168.113.11|open|ok|r|stat Jan 5 14:01:56 sdata smbd_audit: lera|192.168.113.11|open|ok|w|stat/proxystat.l Jan 5 14:01:56 sdata smbd_audit: lera|192.168.113.11|open|ok|w|stat/sborka.sh Jan 5 14:01:56 sdata smbd_audit: lera|192.168.113.11|open|ok|w|stat/traflogans.l Jan 5 14:01:56 sdata smbd_audit: lera|192.168.113.11|open|ok|w|stat/z.pl
Настроим ротацию логов, для этого отредактируем /etc/logrotate.d/samba
/var/log/samba/* {
daily
notifempty
olddir /var/log/samba/old
missingok
sharedscripts
copytruncate
rotate 90
compress
}
Хранить логи за последние 90 дней, ротацию делать раз в день.
