Управление журналом событий#

Перечень журналируемых событий#

Для просмотра журнала событий безопасности используется утилита journalctl.

Просмотр событий безопасности#

Просмотр журнала событий производится с помощью утилиты journalctl. Для просмотра определенных событий безопасности используются специальные параметры и ключи.

Уровни критичности:

• 0: emergency (неработоспособность системы)
• 1: alerts (предупреждения, требующие немедленного вмешательства)
• 2: critical (критическое состояние)
• 3: errors (ошибки)
• 4: warning (предупреждения)
• 5: notice (уведомления)
• 6: info (информационные сообщения)
• 7: debug (отладочные сообщения)

Просмотр всех событий из определенной сессии

1

journalctl -b <номер журнала>

где <номер журнала> определяется при выполнении команды journalctl --list-boots.

Просмотр списка журналов сессий

1

journalctl --list-boots

1
2
3
4
5

[root@vserver:~]# journalctl --list-boots
-3 0701fbd4aebb42a78a73526f2a86a4a8 Thu 2024-03-21 15:23:14 MSK—Fri 2024-03-22 19:01:21 MSK
-2 d39a3f4520da4c82932f72d6f413b9d9 Mon 2024-03-25 13:31:07 MSK—Fri 2024-04-05 19:20:35 MSK
-1 f965e7161502442eb2f59240e51b0801 Mon 2024-04-08 10:27:17 MSK—Fri 2024-04-12 19:13:42 MSK
0 02fd52b6ac92479e8784f0a6cbad32a5 Wed 2024-04-17 18:44:30 MSK—Fri 2024-04-19 10:36:03 MSK

где первый номер показывает номер журнала, а второй номер - boot ID - уникальный идентификатор журнала, который также можно использовать для вывода журнала.

Фильтрация событий безопасности#

Для фильтрации событий безопасности используется параметр grep:

Запуск сервиса

1

journalctl | grep SERVICE_START

Остановка сервиса

1

journalctl | grep SERVICE_STOP

Запуск ВМ

1

journalctl | grep "VIRT_CONTROL.*start"

Неуспешный запуск

1

journalctl | grep "VIRT_CONTROL.*start.*failed"

Запуск определенной ВМ

1

journalctl | grep "VIRT_CONTROL.*start.*<vm-uuid>"

где <vm-uuid> – это uuid ВМ, который можно узнать командой xe vm-list

Завершение работы ВМ

1

journalctl | grep "VIRT_CONTROL.*shutdown"

Успешные попытки:

1

journalctl | grep "VIRT_CONTROL.*clean_shutdown.*success"

Определенная ВМ:

1

journalctl | grep "VIRT_CONTROL.*clean_shutdown.*<vm-uuid>"

где <vm-uuid> – это uuid ВМ, который можно узнать командой xe vm-list

“Чистое” завершение работы

1

journalctl | grep "VIRT_CONTROL.*clean_shutdown"

1

journalctl | grep "VM.clean_shutdown.*audit"

Принудительное завершение работы

1

journalctl | grep "VIRT_CONTROL.*hard_shutdown"

1

journalctl | grep "VM.hard_shutdown.*audit"

Поставнока ВМ на паузу

1

journalctl | grep "VM.pause.*audit"

Снятие ВМ с паузы

1

journalctl | grep "VM.unpause.*audit"

Приостановка ВМ

1

journalctl | grep "VM.suspend.*audit"

Возобновление работы ВМ после приостановки

1

journalctl | grep "VM.resume.*audit"

Перезагрузка ВМ

1

journalctl | grep "VIRT_CONTROL.*VM.clean_reboot"

1

journalctl | grep "VM.clean_reboot.*audit"

Принудительная перезагрузка

1

journalctl | grep "VIRT_CONTROL.*VM.hard_reboot"

1

journalctl | grep "VM.hard_reboot.*audit"

Импорт ВМ

Импорт ВМ фиксируется как событие создания ВМ.

Экспорт ВМ

1

journalctl | grep VM.*export

Клонирование ВМ

1

journalctl | grep "VIRT_CREATE.*VM.clone"

Создание субъекта доступа

1

journalctl | grep subject.create

Удаление субъекта доступа

1

journalctl | grep subject.destroy

Доступ субъектов доступа к УВМ

1

journalctl -b 0 | grep USER_LOGIN

1

journalctl | grep USER_AUTH

Успешный доступ

1

journalctl | grep "USER_LOGIN.*success"

1

journalctl | grep "USER_AUTH.*success"

Неуспешный доступ

1

journalctl | grep "USER_LOGIN.*failed"

1

journalctl | grep "USER_AUTH.*failed"

Доступ определенного субъекта доступа к УВМ

1

journalctl | grep "USER_LOGIN.*user"

Доступ по ssh

1

journalctl | grep "USER_LOGIN.*ssh"

Неуспешная попытка доступа по ssh (неправильный логин)

1

journalctl | grep "sshd.*invalid"

Создание ВМ

1

journalctl | grep "VIRT_CREATE.*VM.create"

Удаление ВМ

1

journalctl | grep VIRT_DESTROY

Копирование ВМ

1

journalctl | grep "VIRT_CREATE.*VM.copy"

Управление ролями пользователей (присвоение/удаление/изменение)

1

journalctl | grep 'role.*add' && journalctl -b | grep 'role.\*remove'

Контроль целостности объектов контроля (VDI ВМ)

1

journalctl | grep VIRT_INTEGRITY_CHECK

Успешный контроль целостности

1

journalctl | grep "VIRT_INTEGRITY_CHECK.*success"

Неуспешный контроль целостности

1

journalctl | grep "VIRT_INTEGRITY_CHECK.*failed"

Обновление КС VDI ВМ

1

journalctl | grep VDI.update_checksum

Создание снапшота

1

journalctl | grep VM.snapshot

Миграция ВМ на другой сервер

1

journalctl | grep VIRT_MIGRATE_OUT

Миграция ВМ с другого сервера

1

journalctl | grep VIRT_MIGRATE_IN

Создание хранилища

1

journalctl | grep sr.create

Удаление журнала событий#

Удалить журналы, оставив только последние 100 Мб:

1

journalctl --vacuum-size=100M

Удалить журналы, оставив журналы только за последние 7 дней:

1

journalctl --vacuum-time=7d

Экспорт журнала событий#

1. Выполните команду по выгрузке журнала в файл. Пример выгрузки:

   1	journalctl [ключи|параметры] > journal.log

2. Подключите и смонтируйте USB-Flash-накопитель к устройству, на которое установлен Numa vServer.
3. Скопируйте полученный файл на USB-Flash-накопитель.

Контроль целостности журнала событий#

Для обеспечения проверки целостности журнала аудита:

1. Сгенерируйте пару ключей для подписи журнала аудита.

   1	journalctl --setup-key

   Команда выведет значение секретного ключа.

2. Проверьте целостность журнала.

   1	journalctl --verify --verify-key '<значение секретного ключа>'

Для автоматизации контроля целостности журнала аудита рекомендуем использовать связку systemd-сервиса и таймера, для этого:

1. Создайте файл сервиса:

   1	nano /etc/systemd/system/journal-verify.service

   1 2 3 4 5 6 7 8 9 10 11

   [Unit] Description=Verify integrity of systemd journal After=systemd-journald.service Requires=systemd-journald.service [Service] Type=oneshot User=root ExecStart=/bin/sh -c '/usr/sys/sw/bin/journalctl --verify --verify-key=<значение секретного ключа>'

   где <значение секретного ключа> – значение, выводимое при выполнении команды journalctl --setup-key

2. Создайте таймер:

   1	nano /etc/systemd/system/journal-verify.timer

   1 2 3 4 5 6 7 8

   Description=Daily systemd journal integrity check at 07:00 [Timer] OnCalendar=*-*-* 07:00:00 Persistent=yes [Install] WantedBy=timers.target

   3. Перечитайте конфигурацию systemd и включите в автозагрузку таймер:

   1 2	systemctl daemon-reload systemctl enable --now journal-verify.timer

   4. Результат проверки доступен с помощью команды:

   1	journalctl -u journal-verify.service

   Пример вывода:

   1 2 3 4 5 6 7 8 9

   [root@vserver-55:~]# journalctl -u journal-verify.service -- Logs begin at Sun 2025-11-30 20:04:15 MSK, end at Fri 2025-12-05 10:53:46 MSK. -- дек 05 07:00:00 vserver-55 systemd[1]: Starting Verify integrity of systemd journal... дек 05 07:00:02 vserver-55 sh[23801]: PASS: /var/log/journal/38855a3423a049e2be9042a56f9aa8a3/system@1f60a7aadceb499392f410739b8f11bc-0000000002f93c01-0006450d97e3a086.journal дек 05 07:00:05 vserver-55 sh[23801]: PASS: /var/log/journal/38855a3423a049e2be9042a56f9aa8a3/system@1f60a7aadceb499392f410739b8f11bc-0000000002ec0bb1-000644f64f0875f9.journal ........ дек 05 07:01:58 vserver-55 sh[23801]: PASS: /var/log/journal/38855a3423a049e2be9042a56f9aa8a3/system@1f60a7aadceb499392f410739b8f11bc-00000000030276f0-0006451e2c1fa56d.journal дек 05 07:01:58 vserver-55 systemd[1]: journal-verify.service: Succeeded. дек 05 07:01:58 vserver-55 systemd[1]: Finished Verify integrity of systemd journal.