‫Node ומערכת הפעלה (OS)

מיקום עומס העבודה	חומרה
מקור יומן ביקורת	Node OS
פעולות מבוקרות	אירועי כניסה אירועים של טלפרינטר (TTY) במערכת ההפעלה אירועים של אנטי-וירוס Clam (ClamAV) אירועים של Advanced Intrusion Detection Environment (AIDE)

אירועי כניסה

כל הניסיונות לגשת וכל הפעולות דרך חיבורי SSH למערכת ההפעלה.

שדות ברשומה ביומן שמכילים מידע על ביקורת
ביקורת על מטא-נתונים	שם שדה הביקורת	ערך
זהות משתמש או שירות	ident	"ident": "sshd"
Target (שדות וערכים שמפעילים את ה-API)	message	לדוגמה, "message": "pam_tty_audit(sshd:session): restored status to 0"
פעולה (שדות שמכילים את הפעולה שבוצעה)	message	לדוגמה, "message": "pam_tty_audit(sshd:session): restored status to 0"
חותמת זמן של אירוע	time	לדוגמה, "time": "2022-11-30T22:53:39.442037+00:00"
מקור הפעולה	host	לדוגמה, "host": "zb-aa-bm01"
תוצאה	message	לדוגמה, "message": "pam_tty_audit(sshd:session): restored status to 0"
שדות אחרים	לא רלוונטי	לא רלוונטי

יומן לדוגמה

{
  "pri": "87",
  "time": "2022-11-30T22:53:39.442037+00:00",
  "host": "zb-aa-bm01",
  "ident": "sshd",
  "pid": "757322",
  "msgid": "-",
  "extradata": "-",
  "message": "pam_tty_audit(sshd:session): restored status to 0",
  "_gdch_cluster": "root-admin",
  "_gdch_fluentbit_pod": "anthos-audit-logs-forwarder-dn5jn",
  "_gdch_service_name": "inventory-machine-bm-e2c2a7e1"
}

אירועי TTY במערכת ההפעלה

כל הפקודות מדפיסות את הפלט במסוף.

שדות ברשומה ביומן שמכילים מידע על ביקורת
ביקורת על מטא-נתונים	שם שדה הביקורת	ערך
זהות משתמש או שירות	ident	"ident": "audispd"
Target (שדות וערכים שמפעילים את ה-API)	message	לדוגמה, "message": "node=ubuntu type=TTY msg=audit(1671531815.870:94280): tty pid=1217279 uid=0 auid=0 ses=3536 major=136 minor=0 comm=\"pager\" data=71"
פעולה (שדות שמכילים את הפעולה שבוצעה)	message	לדוגמה, "message": "node=ubuntu type=TTY msg=audit(1671531815.870:94280): tty pid=1217279 uid=0 auid=0 ses=3536 major=136 minor=0 comm=\"pager\" data=71"
חותמת זמן של אירוע	time	לדוגמה, "time": "2022-12-20T10:23:35.878924+00:00"
מקור הפעולה	host	לדוגמה, "host": "zk-aa-bm08"
תוצאה	message	לדוגמה, "message": "node=ubuntu type=TTY msg=audit(1671531815.870:94280): tty pid=1217279 uid=0 auid=0 ses=3536 major=136 minor=0 comm=\"pager\" data=71"
שדות אחרים	לא רלוונטי	לא רלוונטי

יומן לדוגמה

{
  "pri": "14",
  "time": "2022-12-20T10:23:35.878924+00:00",
  "host": "zk-aa-bm08",
  "ident": "audispd",
  "pid": "-",
  "msgid": "-",
  "extradata": "-",
  "message": "node=ubuntu type=TTY msg=audit(1671531815.870:94280): tty pid=1217279 uid=0 auid=0 ses=3536 major=136 minor=0 comm=\"pager\" data=71",
  "_gdch_cluster": "root-admin",
  "_gdch_fluentbit_pod": "anthos-audit-logs-forwarder-w6fl4",
  "_gdch_service_name": "inventory-machine-bm-7cc496d5"
}

אירועי ClamAV

כל אירועי הסריקה של ClamAV.

שדות ברשומה ביומן שמכילים מידע על ביקורת
ביקורת על מטא-נתונים	שם שדה הביקורת	ערך
זהות משתמש או שירות	ident	ערכים אפשריים: "ident": "clamav" "ident": "clamonacc"
Target (שדות וערכים שמפעילים את ה-API)	message	לדוגמה, "message": "No virus found"
פעולה (שדות שמכילים את הפעולה שבוצעה)	message	לדוגמה, "message": "No virus found"
חותמת זמן של אירוע	time	לדוגמה, "time": "2022-12-20T04:01:47.219862+00:00"
מקור הפעולה	host	לדוגמה, "host": "zk-aa-bm09"
תוצאה	message	לדוגמה, "message": "No virus found"
שדות אחרים	לא רלוונטי	לא רלוונטי

יומן לדוגמה

{
  "pri": "86",
  "time": "2022-12-20T04:01:47.219862+00:00",
  "host": "zk-aa-bm09",
  "ident": "clamav",
  "pid": "-",
  "msgid": "-",
  "extradata": "-",
  "message": "No virus found",
  "_gdch_cluster": "root-admin",
  "_gdch_fluentbit_pod": "anthos-audit-logs-forwarder-lcxgq",
  "_gdch_service_name": "inventory-machine-bm-b11f4752"
}

אירועי AIDE

כל האירועים של זיהוי פריצות ב-AIDE.

שדות ברשומה ביומן שמכילים מידע על ביקורת
ביקורת על מטא-נתונים	שם שדה הביקורת	ערך
זהות משתמש או שירות	ident	"ident": "aide"
Target (שדות וערכים שמפעילים את ה-API)	message	לדוגמה, "message": "AIDE check passed."
פעולה (שדות שמכילים את הפעולה שבוצעה)	message	לדוגמה, "message": "AIDE check passed."
חותמת זמן של אירוע	time	לדוגמה, "time": "2022-12-20T10:20:09.428106+00:00"
מקור הפעולה	host	לדוגמה, "host": "zk-aa-bm08"
תוצאה	message	לדוגמה, "message": "AIDE check passed."
שדות אחרים	לא רלוונטי	לא רלוונטי

יומן לדוגמה

{
  "pri": "86",
  "time": "2022-12-20T10:20:09.428106+00:00",
  "host": "zk-aa-bm08",
  "ident": "aide",
  "pid": "-",
  "msgid": "-",
  "extradata": "-",
  "message": "AIDE check passed.",
  "_gdch_cluster": "root-admin",
  "_gdch_fluentbit_pod": "anthos-audit-logs-forwarder-lcxgq",
  "_gdch_service_name": "inventory-machine-bm-7cc496d5"
}