Nodo e sistema operativo

Gli audit log dei nodi e del sistema operativo (OS) nell'appliance Google Distributed Cloud (GDC) con air gap consentono di monitorare gli eventi di sicurezza e di accesso amministrativo sui nodi hardware. Questi log registrano i campi dei metadati e i payload JSON per i tentativi di accesso, i comandi della console, le scansioni antivirus e i controlli di rilevamento delle intrusioni.

Località del workload

Hardware
Origine dell'audit log

OS del nodo
Operazioni con audit

Eventi di accesso

Tutti i tentativi di accesso e le azioni tramite connessioni SSH del sistema operativo.

Campi della voce di log che contengono informazioni di controllo
Metadati di controllo Nome del campo di controllo Valore
Identità utente o di servizio ident

"ident": "sshd"

Destinazione

(Campi e valori che chiamano l'API)

 message

Ad esempio,

"message": "pam_tty_audit(sshd:session): restored status to 0"

Azione

(Campi contenenti l'operazione eseguita)

 message

Ad esempio,

"message": "pam_tty_audit(sshd:session): restored status to 0"
Timestamp evento time

Ad esempio,

"time": "2022-11-30T22:53:39.442037+00:00"
Origine dell'azione host

Ad esempio,

"host": "zb-aa-bm01"
Risultato message

Ad esempio,

"message": "pam_tty_audit(sshd:session): restored status to 0"
Altri campi Non applicabile Non applicabile

Log di esempio

{
  "pri": "87",
  "time": "2022-11-30T22:53:39.442037+00:00",
  "host": "zb-aa-bm01",
  "ident": "sshd",
  "pid": "757322",
  "msgid": "-",
  "extradata": "-",
  "message": "pam_tty_audit(sshd:session): restored status to 0",
  "_gdch_cluster": "root-admin",
  "_gdch_fluentbit_pod": "anthos-audit-logs-forwarder-dn5jn",
  "_gdch_service_name": "inventory-machine-bm-e2c2a7e1"
}

Eventi TTY del sistema operativo

Tutti i comandi che stampano output sulla console.

Campi della voce di log che contengono informazioni di controllo
Metadati di controllo Nome del campo di controllo Valore
Identità utente o di servizio ident

"ident": "audispd"

Destinazione

(Campi e valori che chiamano l'API)

 message

Ad esempio,

"message": "node=ubuntu type=TTY msg=audit(1671531815.870:94280): tty pid=1217279 uid=0 auid=0 ses=3536 major=136 minor=0 comm=\"pager\" data=71"

Azione

(Campi contenenti l'operazione eseguita)

 message

Ad esempio,

"message": "node=ubuntu type=TTY msg=audit(1671531815.870:94280): tty pid=1217279 uid=0 auid=0 ses=3536 major=136 minor=0 comm=\"pager\" data=71"
Timestamp evento time

Ad esempio,

"time": "2022-12-20T10:23:35.878924+00:00"
Origine dell'azione host

Ad esempio,

"host": "zk-aa-bm08"
Risultato message

Ad esempio,

"message": "node=ubuntu type=TTY msg=audit(1671531815.870:94280): tty pid=1217279 uid=0 auid=0 ses=3536 major=136 minor=0 comm=\"pager\" data=71"
Altri campi Non applicabile Non applicabile

Log di esempio

{
  "pri": "14",
  "time": "2022-12-20T10:23:35.878924+00:00",
  "host": "zk-aa-bm08",
  "ident": "audispd",
  "pid": "-",
  "msgid": "-",
  "extradata": "-",
  "message": "node=ubuntu type=TTY msg=audit(1671531815.870:94280): tty pid=1217279 uid=0 auid=0 ses=3536 major=136 minor=0 comm=\"pager\" data=71",
  "_gdch_cluster": "root-admin",
  "_gdch_fluentbit_pod": "anthos-audit-logs-forwarder-w6fl4",
  "_gdch_service_name": "inventory-machine-bm-7cc496d5"
}

Eventi ClamAV

Tutti gli eventi di scansione ClamAV.

Campi della voce di log che contengono informazioni di controllo
Metadati di controllo Nome del campo di controllo Valore
Identità utente o di servizio ident

Valori possibili:

  • "ident": "clamav"
  • "ident": "clamonacc"

Destinazione

(Campi e valori che chiamano l'API)

 message

Ad esempio,

"message": "No virus found"

Azione

(Campi contenenti l'operazione eseguita)

 message

Ad esempio,

"message": "No virus found"
Timestamp evento time

Ad esempio,

"time": "2022-12-20T04:01:47.219862+00:00"
Origine dell'azione host

Ad esempio,

"host": "zk-aa-bm09"
Risultato message

Ad esempio,

"message": "No virus found"
Altri campi Non applicabile Non applicabile

Log di esempio

{
  "pri": "86",
  "time": "2022-12-20T04:01:47.219862+00:00",
  "host": "zk-aa-bm09",
  "ident": "clamav",
  "pid": "-",
  "msgid": "-",
  "extradata": "-",
  "message": "No virus found",
  "_gdch_cluster": "root-admin",
  "_gdch_fluentbit_pod": "anthos-audit-logs-forwarder-lcxgq",
  "_gdch_service_name": "inventory-machine-bm-b11f4752"
}

Eventi AIDE

Tutti gli eventi di rilevamento delle intrusioni di AIDE.

Campi della voce di log che contengono informazioni di controllo
Metadati di controllo Nome del campo di controllo Valore
Identità utente o di servizio ident

"ident": "aide"

Destinazione

(Campi e valori che chiamano l'API)

 message

Ad esempio,

"message": "AIDE check passed."

Azione

(Campi contenenti l'operazione eseguita)

 message

Ad esempio,

"message": "AIDE check passed."
Timestamp evento time

Ad esempio,

"time": "2022-12-20T10:20:09.428106+00:00"
Origine dell'azione host

Ad esempio,

"host": "zk-aa-bm08"
Risultato message

Ad esempio,

"message": "AIDE check passed."
Altri campi Non applicabile Non applicabile

Log di esempio

{
  "pri": "86",
  "time": "2022-12-20T10:20:09.428106+00:00",
  "host": "zk-aa-bm08",
  "ident": "aide",
  "pid": "-",
  "msgid": "-",
  "extradata": "-",
  "message": "AIDE check passed.",
  "_gdch_cluster": "root-admin",
  "_gdch_fluentbit_pod": "anthos-audit-logs-forwarder-lcxgq",
  "_gdch_service_name": "inventory-machine-bm-7cc496d5"
}