アプライアンスCLIによって生成される監査イベント

アプライアンスに対して行われた様々な操作を監査できます。例えば、すべてのシャットダウンおよび起動イベント、すべてのログイン/ログアウト試行、許可リストにされていないIPアドレスからのSSH接続試行(「IPを許可リスト化してSSH接続を管理する」を参照)、およびnsshell上でユーザーが実行したすべてのコマンド( configure と exitを除く)などです。すべてのコマンドは、成功したかどうかにかかわらずログに記録されます。

セキュリティ対策として、アプライアンスのすべてのコマンドログをsyslogまたはSIEMサーバーに転送することができます。現在、TCPおよびUDPベースのsyslogがサポートされています。

syslogサーバーの送信先を設定するには：

アプライアンスのnsshellを開き、以下のコマンドを入力してください。

add audit-logging destinations
#{server response should be} added index 0

set audit-logging destinations 0 host <hostname>
set audit-logging destinations 0 port <port number>
set audit-logging destinations 0 protocol [TCP | UDP]
set audit-logging enable true

ヒント

この機能を無効にするには、最後のコマンドにfalseを入力してください。

有効化したら、ホストコマンドとポートコマンドで指定したシステムのログファイルを確認してください。

Output Format

<Date> <Time> <Syslog Facility> {"user": <username>, "cmd": <log message or command>, "mode":<auth | config | op>}

Date: Date
時間: 時間
Syslog ファシリティ: 「ログアラート」である 14 を使用します。
cmd: これは「モード」によって異なります（次を参照）。
モードが「auth」の場合、cmd には認証アクティビティ（ログイン、ログアウト）に関連するログメッセージが含まれます。モードが「config」または「op」の場合は、実際に実行されたCLIコマンドが表示されます。
mode: コマンドがどのモードで実行されているかを示します。以下のモードが利用可能です。
- auth: /var/log/auth.log に記載されているアクティビティ (ログイン試行など) を表します。
- config: ユーザーがさまざまな設定を構成できるCLIモード
- op: OPモード。show、restart、statusなどの操作コマンドを表します。