23.2 Audit avec XDASv2

Activation de l'appender Syslog

Si vous souhaitez centraliser les messages d'audit à un seul emplacement, vous pouvez utiliser l'appender Syslog. Par ailleurs, un serveur Syslog offre une meilleure prise en charge des sauvegardes en cas de sinistre.

Pour activer l'appender Syslog, apportez les modifications suivantes dans le fichier xdasxconfig.properties :

Génération d'un certificat pour la connexion SSL Syslog

Pour générer un certificat pour la connexion Syslog :

Activation de l'appender RollingFile

Si la solution d'audit est limitée à un seul serveur, il est préférable d'opter pour l'appender File. Le nombre de composants à configurer étant limité, cette solution est également facile à mettre en oeuvre et plus adaptée aux démonstrations.

Pour activer l'appender RollingFile, apportez les modifications suivantes dans le fichier xdasxconfig.properties :

Configuration de XDASv2 à l'aide du plug-in iManager

Configuration des événements XDAS pour l'audit

Filtrage des comptes XDASv2

Vous pouvez configurer le filtrage des comptes de manière à ne rechercher qu'un ou plusieurs types d'événements spécifiques. Par exemple, si vous souhaitez être informé dès que quelqu'un crée un compte utilisateur dans eDirectory, vous pouvez créer un filtre afin de rechercher uniquement les événements Créer un objet qui créent un objet Utilisateur et de les consigner.

Pour configurer le filtrage des comptes, cliquez sur le lien Événements de gestion de compte, sélectionnez la classe, puis cliquez sur OK pour quitter l'application.

Notez que pour les événements de gestion de compte, vous pouvez configurer le filtrage sur des classes d'objet uniquement.

Pour configurer des filtres pour les événements qui créent un objet Utilisateur et consigner ces événements :

Une fois ce filtre configuré, XDASv2 recherche et consigne tous les événements de création d'utilisateur générés.

Filtrage des rôles XDASv2

Cliquez sur le lien Événements de gestion de rôle lien pour configurer le filtrage des rôles XDASv2. Vous pouvez configurer des rôles XDASv2 pour les objets pour lesquels vous souhaiter collecter des événements XDASv2. Vous pouvez sélectionner des classes d'objet et leur définir des attributs.

Pour configurer le filtrage des rôles XDAS :

Une fois ce filtre configuré, XDASv2 recherche et consigne tous les événements générés pour les attributs.

Schéma XDASv2 JSON

{
    "id":"XDASv2",
    "title":"XDAS Version 2 JSON Schema",
    "description":"A JSON representation of an XDASv2 event record.",
    "type":"objectr",
    "properties":{
      "Source":{
        "description":"The original source of the event, if applicable.",
        "type":"string",
        "optional":true
      },
      "Observer":{
        "description":"The recorder (ie., the XDASv2 service) of the event.",
        "type":"object",
        "optional":false,
        "properties":{
          "Account":{"$ref":"account"},
          "Entity":{"$ref":"entity"}
        }
      },
      "Initiator":{
        "description":"The authenticated entity or access token that causes an event.",
        "type":"object",
        "optional":false,
        "properties":{
          "Account":{"$ref":"account","optional":true},
          "Entity":{"$ref":"entity"},
          "Assertions":{
            "description":"Attribute/value assertions about an identity.",
            "type":"object",
            "optional":true
          }
        }
      },
      "Target":{
        "description":"The target object, account, data item, etc of the event.",
        "type":"object",
        "optional":true,
        "properties":{
          "Account":{"$ref":"account"},
          "Entity":{"$ref":"entity"},
          "Data":{                           
            "description":"A set attribute/value pairs describing the target object.",        * 
            "type":"object",        
            "optional":true
          }  
        }
      },
      "Action":{
        "description":"The action describes the event in a uniform manner.",
        "type":"object",
        "optional":false,
        "properties":{
          "Event":{
            "description":"The event identifier in standard XDASv2 taxonomy.",
            "type":"object",
            "optional":false,
            "properties":{
              "Id":{
                "description":"The XDASv2 taxonomy event identifier.",
                "type":"string",
                "optional":false,
                "pattern":"/^[0-9]+(\.[0-9]+)*$/" 
              },
              "Name":{
                "description":"A short descriptive name for the specific event.", eg. a new replica is added 
                "type":"string",
                "optional":true
              },
      "CorrelationID":{
          "description":"Correlation ID, source#uniqueID#connID",
                 "type":"string",
                 "optional":true
      }
     },
     "SubEvent":{
      "type":object
      "description": "Describes the actual domain specific event that has occured.",
      "optional":true,
      "properties":{
        "Name"":{
                    "description":"A short descriptive name for this event.",
                    "type":"string",
                    "optional":true
                  },
      }
            }  
          }
          "Log":{
            "description":"Client-specified logging attributes.",
            "optional":true,
            "properties":{
              "Severity":{"type":"integer", "optional":true},
              "Priority":{"type":"integer", "optional":true},
              "Facility":{"type":"integer", "optional":true}
            }
          }
          "Outcome":{
            "description":"The XDASv2 taxonomy outcome identifier.",
            "type":"string",
            "optional":false,
            "pattern":"/^[0-9]+(\.[0-9]+)*$/"
          }
          "Time":{
            "description":"The time the event occurred.",
            "type":"object",
            "optional":false,
            "properties":{
              "Offset":{
                "description":"Seconds since Jan 1, 1970.",
                "type":"integer"
              },
              "Sequence":{
                "description":"Milliseconds since last integral second.",
                "type":"integer",
                "optional":true
              },
              "Tolerance":{
                "description":"A tolerance value in milliseconds.",
                "type":"integer",
                "optional":true
              },
              "Certainty":{
                "description":"Percentage certainty of tolerance.",
                "type":"integer",
                "optional":true,
                "minimum":0,
                "maximum":100,
                "default":100,
              },
              "Source":{
                "description":"The time source (eg., ntp://time.nist.gov).",
                "type":"string",
                "optional":true
              },
              "Zone":{
                "description":"A valid timezone symbol (eg., MST/MDT).",
                "type":"string",
                "optional":true
              }
            }
      "ExtendedOutcome":{
            "description":"The XDASv2 taxonomy outcome identifier.",
            "type":"string",
            "optional":false,
            "pattern":"/^[0-9]+(\.[0-9]+)*$/"
           }
        }
      }
    }
  },
  {
    "id":"account",
    "description":"A representation of an XDAS account.",
    "type":"object",
    "properties":{
      "Domain":{
        "description":"A (URL) reference to the authority managing this account.",    /* lets take it as the partition?
        "type":"string"
      },
      "Name":{
        "description":"A human-readable account name.",        - DN
        "type":"string",
        "optional":true
      },
      "Id":{
        "description":"A machine-readable unique account identifier value.",  - EntryID
        "type":"integer"
      }
    }
  },
  {
    "id":"entity",                    - Server details for Target, client address details for the initiator
    "description":"A representation of an addressable entity.",
    "type":"object",
    "properties":{
      "SysAddr":{"type":"string","optional":true},  
      "SysName":{"type":"string","optional":true},
      "SvcName":{"type":"string","optional":true},
      "SvcComp":{"type":"string","optional":true},
    }
  }

Définitions des champs XDAS

Les champs inclus dans le schéma sont les champs XDASv2 définis spécifiquement pour les événements d'audit. Certains ou l'ensemble de ces champs peuvent également être pertinents pour d'autres types d'événement, mais des informations de ce type sont requises pour les services d'audit. Le format d'enregistrement XDASv2 JSON est un format ouvert. Cela signifie que d'autres champs peuvent être ajoutés à n'importe quel endroit de l'enregistrement, du moment qu'ils ne sont pas en conflit avec les valeurs de champ définies pour l'audit par la norme XDASv2. Autrement dit, en présence d'un certain type de données de corrélation, telles qu'un identificateur de workflow ou un identificateur de session, qui peuvent servir de points de données de corrélation entre des événements au sein d'un workflow ou d'une session cliente, vous pouvez ajouter ces champs. Choisissez simplement un nom non conflictuel pour votre champ.

Codes de résultat

Le code de résultat est une valeur numérique hiérarchique comparable au code d'événement. Il indique si l'opération a réussi ou échoué et pour quelle raison. La hiérarchie de réussite est encapsulée par le sous-arc 0.x. Les classes d'échec sont représentées par la hiérarchie 1.x. Les codes de refus sont représentés par la hiérarchie 2.x.

Exemple d'événement

Vous trouverez ci-dessous un exemple d'événement :

Sep 12 14:51:26 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "DEMOTREE","Name" : "CN=demo-host,O=org"},"Entity" : {"SysAddr" : "192.168.0.15","SysName" : "demo-host"}},"Initiator" : {"Account" : {"Domain" : "DEMOTREE"},"Entity" : {"SysAddr" : "192.168.0.10:18408"}},"Target" : {"Data" : {"Name" : "CN=demo-host,O=org"}},"Action" : {"Event" : {"Id" : "0.0.2.2","Name" : "QUERY_DATA_ITEM_ATTRIBUTE","CorrelationID" : "eDirectory#5#","SubEvent" : "DSE_DSA_READ"},"Time" : {"Offset" : 1378977686},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}