La auditoría de la actividad en los registros de eventos puede ayudarle a aislar, diagnosticar y resolver problemas en su entorno. Esta sección proporciona información que le ayudará a habilitar y comprender el registro de eventos y cómo trabajar con los archivos de registro.
Para permitir la revisión y la notificación de las acciones del administrador asistente, DRA registra todas las operaciones de usuarios en el archivo de registro, en el equipo del servidor de administración. Entre las operaciones de los usuarios, se incluyen todos los intentos de cambiar definiciones, como actualizar cuentas de usuario, suprimir grupos o definir de nuevo ActiveViews. DRA también registra operaciones internas específicas, como la inicialización del servidor de administración y la información del servidor relacionada. Además de registrar estos eventos de auditoría, DRA registra los valores anteriores y posteriores al evento para que pueda ver exactamente qué ha cambiado.
DRA utiliza una carpeta, NetIQLogArchiveData, denominada archivo de registro para almacenar de forma segura los datos de registro archivados. DRA archiva los registros a lo largo del tiempo y borra posteriormente los datos más antiguos para dejar espacio para los datos más recientes mediante un proceso denominado limpieza.
DRA utiliza los eventos de auditoría almacenados en los archivos incluidos en el archivo de registro para mostrar informes de detalles de actividad como, por ejemplo, los cambios realizados en un objeto durante un periodo específico. También puede configurar DRA para exportar información de estos archivos incluidos en el archivo de registro a una base de datos de SQL Server que NetIQ Reporting Center utilizará para mostrar informes de gestión.
DRA siempre escribe eventos de auditoría en el archivo de registro. También puede habilitar o inhabilitar la función de escritura de eventos de DRA en los registros de eventos de Windows.
Al instalar DRA, los eventos de auditoría no se registran por defecto en el registro de eventos de Windows. Puede habilitar este tipo de registro mediante la modificación de una clave de registro.
ADVERTENCIA:Tenga cuidado al editar el Registro de Windows. Si se produce un error en el Registro, es posible que el equipo deje de funcionar. Si se produce un error, puede restaurar el Registro al estado que presentaba la última vez que inició correctamente el equipo. Para obtener más información, consulte la ayuda del editor del Registro de Windows.
Para habilitar la auditoría de eventos:
Haga clic en Inicio > Ejecutar.
Escriba regedit en el campo Abrir y haga clic en Aceptar.
Expanda la siguiente clave del Registro: HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Modules\ServerConfiguration\.
Haga clic en Editar > Nuevo > Valor DWORD.
Introduzca IsNTAuditEnabled como nombre de clave.
Haga clic en Editar > Modificar.
Introduzca 1 en el campo Información del valor y haga clic en Aceptar.
Cierre el editor del Registro.
Para inhabilitar la auditoría de eventos:
Haga clic en Inicio > Ejecutar.
Escriba regedit en el campo Abrir y haga clic en Aceptar.
Expanda la siguiente clave del Registro: HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Modules\ServerConfiguration\.
Seleccione la clave IsNTAuditEnabled.
Haga clic en Editar > Modificar.
Introduzca 0 en el campo Información del valor y haga clic en Aceptar.
Cierre el editor del Registro.
Para garantizar que se auditen todas las acciones de los usuarios, DRA proporciona métodos de registro alternativos cuando el producto no puede verificar la actividad del registro. Al instalar DRA, la clave y la vía de AuditFailsFilePath se añaden al Registro para garantizar las siguientes acciones:
Si DRA detecta que los eventos de auditoría ya no se registran en un archivo de registro, DRA incluirá los eventos de auditoría en un archivo local del servidor de administración.
Si DRA no puede escribir eventos de auditoría en un archivo local, DRA incluirá los eventos de auditoría en el registro de eventos de Windows.
Si DRA no puede escribir eventos de auditoría en el registro de eventos de Windows, el producto incluirá eventos de auditoría en el registro de DRA.
Si DRA detecta que no se están registrando los eventos de auditoría, bloqueará otras operaciones del usuario.
Para habilitar las operaciones de escritura cuando el archivo de registro no está disponible, también debe definir un valor de clave de registro para la clave AllowOperationsOnAuditFailure.
ADVERTENCIA:Tenga cuidado al editar el Registro de Windows. Si se produce un error en el Registro, es posible que el equipo deje de funcionar. Si se produce un error, puede restaurar el Registro al estado que presentaba la última vez que inició correctamente el equipo. Para obtener más información, consulte la ayuda del editor del Registro de Windows.
Para habilitar las operaciones de escritura:
Haga clic en Inicio > Ejecutar.
Escriba regedit en el campo Abrir y haga clic en Aceptar.
Expanda la siguiente clave del Registro: HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Audit\.
Haga clic en Editar > Nuevo > Valor DWORD.
Introduzca AllowOperationsOnAuditFailure como nombre de clave.
Haga clic en Editar > Modificar.
Introduzca 736458265 en el campo Información del valor.
Seleccione Decimal en el campo Base y haga clic en Aceptar.
Cierre el editor del Registro.
DRA registra los datos de actividad del usuario en archivos de registro, en el servidor de administración. DRA crea particiones diarias de archivo de registro para almacenar los datos recopilados y normalizados ese día. DRA usa la fecha en hora local en el servidor de administración (AAAAMMDD) como convención de denominación para las particiones diarias de archivo de registro.
Si ha habilitado el recopilador de informes de gestión, DRA exporta los datos del archivo de registro a una base de datos de SQL Server como origen de los informes de gestión de DRA.
Inicialmente, DRA mantiene por defecto indefinidamente datos del registro en el archivo de registro. El tamaño del archivo de registro puede alcanzar un tamaño máximo que se determina durante la instalación en función del espacio disponible en la unidad de disco duro. Cuando el archivo de registro supera este tamaño máximo, no se almacenan nuevos eventos de auditoría. Puede definir un límite de tiempo para la conservación de datos; DRA elimina los datos más antiguos a fin de dejar espacio para los datos más recientes a través de un proceso denominado limpieza. Asegúrese de que dispone de una estrategia de copia de seguridad antes de habilitar la limpieza. Puede configurar el periodo de conservación del archivo de registro mediante la utilidad Configuración del archivo de registro. Para obtener más información, consulte Modificación de la configuración de limpieza del archivo de registro.
Use la utilidad Visor del archivo de registro para ver los datos almacenados en los archivos incluidos en el archivo de registro. NetIQ DRA Log Archive Resource Kit (LARK), que puede optar por instalar con DRA, proporciona la utilidad Visor del archivo de registro. Para obtener más información, consulte NetIQ DRA Log Archive Resource Kit Technical Reference (Referencia técnica de NetIQ DRA Log Archive Resource Kit).
Un archivo incluido en el archivo de registro es un conjunto de bloques de registro. Como los archivos incluidos en el archivo de registro son archivos binarios comprimidos que se encuentran fuera de una base de datos física, no es necesario usar Microsoft SQL Server Management Studio para realizar una copia de seguridad de los archivos de registro. Si dispone de un sistema automatizado de copia de seguridad de archivos, los archivos incluidos en el archivo de registro se guardan automáticamente como cualquier otro archivo.
Tenga en cuenta las siguientes prácticas recomendadas al planificar la estrategia de copia de seguridad:
Se crea una única partición cada día que contiene datos de eventos para ese día. Al habilitar la limpieza, el servicio de archivo de registro limpiará por defecto los datos de estas particiones automáticamente cada 90 días. La estrategia de copia de seguridad debe tener en cuenta la programación de limpieza para determinar la frecuencia de las copias de seguridad. Al limpiar las particiones de archivo de registro, DRA suprime los archivos binarios. No se pueden recuperar los datos limpiados. Estos se deben restaurar a partir de una copia de seguridad. Para obtener más información, consulte Modificación de la configuración de limpieza del archivo de registro.
Solo debería realizar una copia de seguridad de las particiones después de que se hayan cerrado. En condiciones normales, se cierra una partición en un plazo de 2 horas a partir de la medianoche del día siguiente.
Realice una copia de seguridad de las carpetas de particiones y todas sus subcarpetas como una unidad y restáurelas. Realice una copia de seguridad del archivo VolumeInfo.xml como parte del proceso de copia de seguridad de particiones.
Si desea restaurar las particiones de archivo de registro para los informes, asegúrese de que los archivos de registro de copia de seguridad se conserven o se puedan restaurar a su formato original.
Al configurar el proceso de copia de seguridad de los archivos incluidos en el archivo de registro, NetIQ recomienda que excluya las subcarpetas index_data y CubeExport ubicadas en la carpeta principal del archivo de registro. Estas subcarpetas contienen datos temporales y no se debe realizar una copia de seguridad de ellos.
Al instalar DRA, la limpieza del archivo de registro está inhabilitada por defecto. Al establecer procedimientos de copia de seguridad regulares para los archivos incluidos en el archivo de registro, debe habilitar la limpieza del archivo de registro para ahorrar espacio en el disco. Puede modificar el número de días antes de que se limpien las particiones de archivo de registro mediante la utilidad Configuración del archivo de registro.
Para cambiar el número de días antes de que se limpien las particiones del archivo de registro:
Entre en el servidor de administración mediante una cuenta que sea miembro del grupo de administradores locales.
Inicie Log Archive Configuration (Configuración del archivo de registro) en el grupo de programas NetIQ Security Manager > Configuration (Configuración).
Haga clic en Configuración del servidor de archivo de registro.
Si desea habilitar la limpieza de particiones, defina el valor del campo Partition Grooming Enabled (Limpieza de particiones) en True (Verdadero).
Escriba el número de días que desea conservar las particiones del archivo de registro antes de la limpieza en el campo Number of Days before Grooming (Número de días antes de la limpieza).
Haga clic en Aplicar.
Haga clic en Sí.
Haga clic en Cerrar.
Localice la carpeta <vía a LogArchiveData> \ <nombre de la partición> y, a continuación:
|
Si el valor |
|
|---|---|
|
Se ha activado |
Haga clic en Sí en el mensaje de confirmación para reiniciar el servicio de archivo de registro de NetIQ Security Manager. NOTA:Si modifica cualquier ajuste del archivo de registro, debe reiniciar el servicio de archivo de registro para que se aplique el cambio. |
|
No se ha activado |
Si no se ha activado el atributo "File is ready for archiving" (El archivo está listo para archivarse) de las carpetas o los archivos incluidos en las particiones especificadas, debe editar el archivo CONFIG para habilitar la limpieza del archivo de registro. Para comprender por qué es posible que se haya activado o no este atributo, consulte la sección Additional Information (Información adicional) del artículo de la base de conocimientos How do you configure the data retention period for DRA Logarchival Data? (¿Cómo se configura el periodo de conservación de datos para los datos del archivo de registro de DRA?).
Para habilitar el servidor de archivo del registro de DRA a fin de limpiar los datos no archivados:
Entre localmente a cada consola de servidor de DRA de Windows como miembro del grupo de administradores locales.
Utilice un editor de texto para abrir el archivo C:\ProgramData\NetIQ\Directory Resource Administrator\LogArchiveConfiguration.config y busque la línea <Property name="GroomUnarchivedData" value="false" />.
Cambie "false" (falso) a "true" (verdadero) y guarde el archivo.
Reinicie el servicio de archivo de registro de DRA de NetIQ.
NOTA:Si modifica cualquier ajuste del archivo de registro, debe reiniciar el servicio de archivo de registro para que se aplique el cambio.