| Posizione del workload |
Hardware |
| Sorgente log di controllo |
Node OS |
| Operazioni con audit |
|
Eventi di accesso
Tutti i tentativi di accesso e le azioni tramite connessioni SSH del sistema operativo.
| Campi della voce di log che contengono informazioni di audit | ||
|---|---|---|
| Metadati di audit | Nome del campo di audit | Valore |
| Identità utente o servizio | ident |
|
|
Destinazione (Campi e valori che chiamano l'API) |
message |
Ad esempio,
|
|
Azione (Campi contenenti l'operazione eseguita) |
message |
Ad esempio,
|
| Timestamp evento | time |
Ad esempio,
|
| Origine dell'azione | host |
Ad esempio,
|
| Risultato | message |
Ad esempio,
|
| Altri campi | Non applicabile | Non applicabile |
Log di esempio
{
"pri": "87",
"time": "2022-11-30T22:53:39.442037+00:00",
"host": "zb-aa-bm01",
"ident": "sshd",
"pid": "757322",
"msgid": "-",
"extradata": "-",
"message": "pam_tty_audit(sshd:session): restored status to 0",
"_gdch_cluster": "root-admin",
"_gdch_fluentbit_pod": "anthos-audit-logs-forwarder-dn5jn",
"_gdch_service_name": "inventory-machine-bm-e2c2a7e1"
}
Eventi del sistema operativo TTY
Tutti i comandi che stampano output sulla console.
| Campi della voce di log che contengono informazioni di audit | ||
|---|---|---|
| Metadati di audit | Nome del campo di audit | Valore |
| Identità utente o servizio | ident |
|
|
Destinazione (Campi e valori che chiamano l'API) |
message |
Ad esempio,
|
|
Azione (Campi contenenti l'operazione eseguita) |
message |
Ad esempio,
|
| Timestamp evento | time |
Ad esempio,
|
| Origine dell'azione | host |
Ad esempio,
|
| Risultato | message |
Ad esempio,
|
| Altri campi | Non applicabile | Non applicabile |
Log di esempio
{
"pri": "14",
"time": "2022-12-20T10:23:35.878924+00:00",
"host": "zk-aa-bm08",
"ident": "audispd",
"pid": "-",
"msgid": "-",
"extradata": "-",
"message": "node=ubuntu type=TTY msg=audit(1671531815.870:94280): tty pid=1217279 uid=0 auid=0 ses=3536 major=136 minor=0 comm=\"pager\" data=71",
"_gdch_cluster": "root-admin",
"_gdch_fluentbit_pod": "anthos-audit-logs-forwarder-w6fl4",
"_gdch_service_name": "inventory-machine-bm-7cc496d5"
}
Eventi di ClamAV
Tutti gli eventi di scansione di ClamAV.
| Campi della voce di log che contengono informazioni di audit | ||
|---|---|---|
| Metadati di audit | Nome del campo di audit | Valore |
| Identità utente o servizio | ident |
Valori possibili:
|
|
Destinazione (Campi e valori che chiamano l'API) |
message |
Ad esempio,
|
|
Azione (Campi contenenti l'operazione eseguita) |
message |
Ad esempio,
|
| Timestamp evento | time |
Ad esempio,
|
| Origine dell'azione | host |
Ad esempio,
|
| Risultato | message |
Ad esempio,
|
| Altri campi | Non applicabile | Non applicabile |
Log di esempio
{
"pri": "86",
"time": "2022-12-20T04:01:47.219862+00:00",
"host": "zk-aa-bm09",
"ident": "clamav",
"pid": "-",
"msgid": "-",
"extradata": "-",
"message": "No virus found",
"_gdch_cluster": "root-admin",
"_gdch_fluentbit_pod": "anthos-audit-logs-forwarder-lcxgq",
"_gdch_service_name": "inventory-machine-bm-b11f4752"
}
Eventi di AIDE
Tutti gli eventi di rilevamento delle intrusioni di AIDE.
| Campi della voce di log che contengono informazioni di audit | ||
|---|---|---|
| Metadati di audit | Nome del campo di audit | Valore |
| Identità utente o servizio | ident |
|
|
Destinazione (Campi e valori che chiamano l'API) |
message |
Ad esempio,
|
|
Azione (Campi contenenti l'operazione eseguita) |
message |
Ad esempio,
|
| Timestamp evento | time |
Ad esempio,
|
| Origine dell'azione | host |
Ad esempio,
|
| Risultato | message |
Ad esempio,
|
| Altri campi | Non applicabile | Non applicabile |
Log di esempio
{
"pri": "86",
"time": "2022-12-20T10:20:09.428106+00:00",
"host": "zk-aa-bm08",
"ident": "aide",
"pid": "-",
"msgid": "-",
"extradata": "-",
"message": "AIDE check passed.",
"_gdch_cluster": "root-admin",
"_gdch_fluentbit_pod": "anthos-audit-logs-forwarder-lcxgq",
"_gdch_service_name": "inventory-machine-bm-7cc496d5"
}