Les événements XDAS sont classés dans les catégories suivantes :
Les événements de gestion des comptes s'appliquent à la gestion des comptes de principal. Un principal peut être un utilisateur final. Par défaut, les classes d'objet Personne organisationnelle, Personne et Utilisateur sont assignées aux comptes.
REMARQUE :l'événement Modifier le jeton de sécurité du compte aurait pu être défini dans le cadre de l'événement Modifier le compte, mais la modification des jetons de sécurité de compte est considérée comme un aspect très important de l'audit de sécurité et bénéficie dès lors de son propre événement.
Tableau H-2 Taxinomie des événements de gestion des comptes
|
Nom de l'événement |
Identificateur de l'événement |
Événement eDir correspondant |
Description |
Cliquez sur |
|---|---|---|---|---|
|
Créer un compte |
0.0.0.0 |
DSE_CREATE_ENTRY DSE_ADD_ENTRY |
Créer un compte |
Cet événement est généré lors de la création d'un compte. |
|
Supprimer le compte |
0.0.0.1 |
DSE_REMOVE_ENTRY |
Supprimer un compte existant |
Cet événement a un sens sémantique opposé à la création d'un compte. Cet événement est généré lors de la suppression d'un compte. |
|
Désactiver le compte |
0.0.0.2 |
DSE_ADD_VALUE |
Désactiver un compte existant |
Cet événement est généré lorsqu'un compte est désactivé par un administrateur ou un processus de sécurité automatisé et ne peut pas être utilisé tant qu'il n'a pas été réactivé. |
|
Activer le compte |
0.0.0.3 |
DSE_ADD_VALUE |
Activer un compte désactivé existant |
Il s'agit de l'événement contraire à l'événement Désactiver le compte défini ci-dessus. |
|
Compte de requête |
0.0.0.4 |
DSE_INSPECT_ENTRY DSE_LIST_SUBORDINATES DSE_READ_REFERENCES DSE_SEARCH DSE_REFERRAL DSE_COMPARE_ATTR_VALUE DSE_READ_ATTR DSE_STREAM |
Interroger un compte existant |
Cet événement est généré lors d'une requête pour les informations d'attribut d'un compte en particulier. |
|
Modifier le compte |
0.0.0.5 |
DSE_ADD_VALUE DSE_MOVE_SOURCE_ENTRY DSE_DELETE_VALUE DSE_MOVE_SUBTREE DSE_MERGE_ENTRIES DSE_MOVE_DEST_ENTRY DSE_MUTATE_ENTRY DSE_RENAME_ENTRY DSE_ADD_PROPERTY DSE_MODIFY_ENTRY DSE_DELETE_PROPERTY DSE_RESEND_ENTRY DSE_CREATE_BACKLINK DSE_REMOVE_BACKLINK |
Modifier un compte existant |
Cet événement est généré lors d'une requête de modification des informations d'attribut d'un compte en particulier. |
Cette section présente des exemples pour les événements de gestion de compte suivants :
REMARQUE :les exemples contenus dans les sections suivantes sont uniquement fournis à titre de référence.
Cliquez sur Créer un compte pour générer un événement de création d'un compte utilisateur. Une sortie au format JSON, semblable à ce qui suit, est générée :
Mar 15 12:08:35 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=SLE12-142,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLE12-142"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=novell","Id" : "32834"},"Entity" : {"SysAddr" : "100.1.2.194:0"}},"Target" : {"Data" : {"ClassName" : "User"},"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=user1,O=novell","Id" : "32864"}},"Action" : {"Event" : {"Id" : "0.0.2.0","Name" : "CREATE_ACCOUNT","CorrelationID" : "eDirectory#29#87e32af4-e717-4607-a541-f42ae38717e7","SubEvent" : "DSE_CREATE_ENTRY"},"Time" : {"Offset" : 1489559915},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
L'exemple précédent apparaît au format XML (lorsque vous le convertissez depuis le format JSON) comme suit :
<Source>eDirectory#DS</Source>
<Observer>
<Account>
<Domain>MYTREE</Domain>
<Name>CN=SLES11-SP2,O=mycom</Name>
</Account>
<Entity>
<SysAddr>100.1.1.2</SysAddr>
<SysName>SLES11-SP2.my.com</SysName>
</Entity>
</Observer>
<Initiator>
<Account>
<Name>CN=admin,O=mycom</Name>
<Id>32805</Id>
</Account>
</Initiator>
<Target>
<Data>
<ClassName>User</ClassName>
<Name>CN=USER,O=mycom</Name>
</Data>
</Target>
<Action>
<Event>
<Id>0.0.2.0</Id>
<Name>CREATE_ACCOUNT</Name>
<CorrelationID>eDirectory#25#0ef05b4c-e864-4d4c-f7a9-4c5bf00e64e8</CorrelationID>
<SubEvent>DSE_CREATE_ENTRY</SubEvent>
</Event>
<Time>
<Offset>1389173763</Offset>
</Time>
<Log>
<Severity>7</Severity>
</Log>
<Outcome>0</Outcome>
<ExtendedOutcome>0</ExtendedOutcome>
</Action>
Cliquez sur Supprimer le compte pour générer un événement de suppression d'un compte utilisateur, comme illustré dans l'exemple suivant :
Mar 13 16:40:50 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "VLV_MEM","Name" : "CN=stdir-vm-53,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "stdir-vm-53.labs.blr.novell.com"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=novell","Id" : "32872"},"Entity" : {"SysAddr" : "100.1.2.194:16600"}},"Target" : {"Data" : {"ClassName" : "User","Version" : "2"},"Account" : {"Domain" : "VLV_MEM","Name" : "CN=user1,O=novell","Id" : "203366"}},"Action" : {"Event" : {"Id" : "0.0.0.1","Name" : "DELETE_ACCOUNT","CorrelationID" : "eDirectory#18#f2bb6a04-b1a5-43c2-a990-046abbf2a5b1","SubEvent" : "DSE_REMOVE_ENTRY"},"Time" : {"Offset" : 1489403450},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Désactiver le compte pour générer un événement de désactivation d'un compte utilisateur, comme illustré dans l'exemple suivant :
Mar 08 17:39:31 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLES12-194-12"}},"Initiator" : {"Account" : {"Name" : "CN=admin,OU=novell,OU=co,O=in","Id" : "32863"},"Entity" : {"SysAddr" : "100.1.2.194:39382"}},"Target" : {"Data" : {"Attribute Name" : "Login Disabled","ClassName" : "User","Version" : "2"},"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=rrrr,OU=novell,OU=co,O=in","Id" : "32906"}},"Action" : {"Event" : {"Id" : "0.0.0.2","Name" : "DISABLE_ACCOUNT","CorrelationID" : "eDirectory#91#2a382b1e-9d96-4990-9341-1e2b382a969d","SubEvent" : "DSE_ADD_VALUE"},"Time" : {"Offset" : 1488974971},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Activer le compte pour générer un événement d'activation d'un compte utilisateur, comme illustré dans l'exemple suivant :
Mar 07 18:13:09 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLES12-194-12"}},"Initiator" : {"Account" : {"Name" : "CN=admin,OU=novell,OU=co,O=in","Id" : "32863"},"Entity" : {"SysAddr" : "100.1.2.194:18902"}},"Target" : {"Data" : {"Attribute Name" : "Login Disabled","ClassName" : "User","Version" : "2"},"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=raghu,OU=novell,OU=co,O=in","Id" : "32893"}},"Action" : {"Event" : {"Id" : "0.0.0.3","Name" : "ENABLE_ACCOUNT","CorrelationID" : "eDirectory#72#eecfbf13-9f36-4c09-b468-13bfcfee369f","SubEvent" : "DSE_ADD_VALUE"},"Time" : {"Offset" : 1488890589},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Compte de requête pour générer un événement permettant d'interroger un compte utilisateur, comme illustré dans l'exemple suivant :
Mar 06 16:40:00 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLES12-194-12"}},"Initiator" : {"Account" : {"Name" : "CN=admin,OU=novell,OU=co,O=in","Id" : "32863"},"Entity" : {"SysAddr" : "100.1.2.194:0"}},"Target" : {"Data" : {"Attribute Name" : "ACL","ClassName" : "User","Version" : "2"},"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=admin,OU=novell,OU=co,O=in","Id" : "32863"}},"Action" : {"Event" : {"Id" : "0.0.0.4","Name" : "QUERY_ACCOUNT","CorrelationID" : "eDirectory#59#","SubEvent" : "DSE_READ_ATTR"},"Time" : {"Offset" : 1488798600},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Modifier le compte pour générer un événement permettant de modifier un compte utilisateur, comme illustré dans l'exemple suivant :
Mar 07 16:24:45 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLES12-194-12"}},"Initiator" : {"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194:0"}},"Target" : {"Data" : {"Attribute Name" : "pwdFailureTime","ClassName" : "User","Syntax" : "24","Version" : "2"},"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=admin,OU=novell,OU=co,O=in","Id" : "32863"}},"Action" : {"Event" : {"Id" : "0.0.0.5","Name" : "MODIFY_ACCOUNT","CorrelationID" : "eDirectory#0#678d790d-c19f-4364-b821-0d798d679fc1","SubEvent" : "DSE_DELETE_ATTRIBUTE"},"Time" : {"Offset" : 1488884085},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Les événements de gestion des approbations permettent de gérer les relations de confiance. Une approbation peut être instanciée par un groupe ou un rôle. Par défaut, les classes d'objet dynamicGroup, dynamicGroupAux, Groupe, Groupe LDAP et Rôle organisationnel sont assignées aux approbations.
Par exemple, lorsqu'une identité située dans le domaine A demande un service qui relève du domaine B, une association approuvée est requise entre les deux domaines. Cela s'appelle une relation de confiance. Vous avez configuré une relation de confiance en établissant une identité dans le domaine B, qui est utilisée en tant que proxy pour toutes les requêtes venant de n'importe quelle identité du domaine A.
Tableau H-3 Taxinomie des événements de gestion des approbations
|
Nom de l'événement |
Identificateur de l'événement |
Événement eDir correspondant |
Description |
Utilisation |
|---|---|---|---|---|
|
Créer l'approbation |
0.0.1.0 |
DSE_CREATE_ENTRY DSE_ADD_ENTRY |
Création d'une approbation. |
Cet événement est signalé lors de la création d'une approbation. |
|
Supprimer l'approbation |
0.0.1.1 |
DSE_REMOVE_ENTRY |
Suppression d'une approbation. |
Cet événement est signalé lors de la suppression d'une approbation. |
|
Approbation de requête |
0.0.1.2 |
DSE_INSPECT_ENTRY DSE_SEARCH DSE_LIST_SUBORDINATES DSE_READ_REFERENCES DSE_REFERRAL DSE_COMPARE_ATTR_VALUE DSE_READ_ATTR DSE_STREAM |
Demande d'attributs associés à une approbation. |
Cet événement est signalé lors d'une requête d'attributs associés à une approbation. |
|
Modifier l'approbation |
0.0.1.3 |
DSE_MOVE_SUBTREE DSE_MERGE_ENTRIES DSE_RENAME_ENTRY DSE_MOVE_SOURCE_ENTRY DSE_MOVE_DEST_ENTRY DSE_MUTATE_ENTRY DSE_ADD_VALUE DSE_ADD_PROPERTY DSE_DELETE_VALUE DSE_DELETE_PROPERTY DSE_RESEND_ENTRY DSE_CREATE_BACKLINK DSE_REMOVE_BACKLINK DSE_MODIFY_ENTRY |
Modification des attributs associés à une approbation. |
Cet événement est signalé en cas de modification apportée aux attributs associés à une approbation. |
Les sections suivantes présentent des exemples pour les événements de gestion des approbations.
Cliquez sur Créer une approbation pour générer un événement lors de la création d'une nouvelle approbation, comme illustré dans l'exemple suivant :
Mar 16 20:56:39 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=SLE12-142,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLE12-142"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=novell","Id" : "32834"},"Entity" : {"SysAddr" : "100.1.2.194:43936"}},"Target" : {"Data" : {"ClassName" : "LDAP Group","Name" : "CN=LDAP Group - server2,O=novell","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.1.0","Name" : "CREATE_TRUST","CorrelationID" : "eDirectory#41#2a670625-1950-48cf-8abf-2506672a5019","SubEvent" : "DSE_CREATE_ENTRY"},"Time" : {"Offset" : 1489677999},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Supprimer l'approbation pour générer un événement lors de la suppression d'une approbation existante, comme illustré dans l'exemple suivant :
Mar 16 22:02:46 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=SLE12-142,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLE12-142"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=novell","Id" : "32834"},"Entity" : {"SysAddr" : "100.1.2.194:26571"}},"Target" : {"Data" : {"ClassName" : "dynamicGroup","Name" : "CN=group1,O=novell","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.1.1","Name" : "DELETE_TRUST","CorrelationID" : "eDirectory#55#8f230203-1c8f-41f7-8456-0302238f8f1c","SubEvent" : "DSE_REMOVE_ENTRY"},"Time" : {"Offset" : 1489681966},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Approbation de requête pour générer un événement lorsqu'une requête est déclenchée pour les attributs qui sont associés à une approbation, comme illustré dans l'exemple suivant :
Mar 16 16:49:35 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=SLE12-142,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLE12-142"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=novell","Id" : "32834"},"Entity" : {"SysAddr" : "100.1.2.194:31967"}},"Target" : {"Data" : {"Attribute Name" : "LDAP Allow Clear Text Password","ClassName" : "LDAP Group","Name" : "CN=LDAP Group - SLE12-142,O=novell","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.1.4","Name" : "QUERY_TRUST","CorrelationID" : "eDirectory#46#","SubEvent" : "DSE_READ_ATTR"},"Time" : {"Offset" : 1489663175},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Modifier l'approbation pour générer un événement lorsqu'une modification est apportée aux attributs qui sont associés à une approbation, comme illustré dans l'exemple suivant :
Mar 16 22:02:46 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=SLE12-142,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLE12-142"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=novell","Id" : "32834"},"Entity" : {"SysAddr" : "100.1.2.194:26571"}},"Target" : {"Data" : {"Attribute Name" : "Obituary","Attribute Value" : "72061996379406335","ClassName" : "dynamicGroup","Name" : "CN=group1,O=novell","Syntax" : "9","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.1.5","Name" : "MODIFY_TRUST","CorrelationID" : "eDirectory#55#8f230203-1c8f-41f7-8456-0302238f8f1c","SubEvent" : "DSE_DELETE_VALUE"},"Time" : {"Offset" : 1489681966},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cet ensemble d'événements fait référence à la création et à la gestion d'éléments de données et de ressources au sein d'un domaine. Le type d'élément de données ou de ressources dépend entièrement du domaine. Par défaut, une classe d'objet qui n'est assignée à aucun compte ou aucune approbation sera assignée aux éléments de données.
par exemple, les fichiers et répertoires, les fichiers de périphérique spéciaux et les segments de mémoire partagée au sein d'un système d'exploitation, les tables et les enregistrements au sein d'une base de données, ou encore les messages au sein d'un système de messagerie. Le terme « élément de données » est utilisé dans ce contexte pour faire référence à tout type d'élément de ressource.
Tableau H-4 Taxinomie de l'événement de gestion des éléments de données
|
Nom de l'événement |
Identificateur de l'événement |
Événement eDir correspondant |
Description |
Cliquez sur |
|---|---|---|---|---|
|
Créer un élément de données |
0.0.3.0 |
DSE_CREATE_ENTRY DSE_ADD_ENTRY DSE_ADD_REPLICA DSE_DEFINE_ATTR_DEF DSE_DEFINE_CLASS_DEF |
Créer un élément de données |
Cet événement est signalé lors de la création d'un élément de données. |
|
Supprimer l'élément de données |
0.0.3.1 |
DSE_REMOVE_ENTRY DSE_REMOVE_REPLICA DSE_REMOVE_CLASS_DEF DSE_REMOVE_ATTR_DEF |
Supprimer un élément de données |
Cet événement est signalé chaque fois qu'un élément de ressources ou de données lié à la sécurité est supprimé.. |
|
Attribut d'élément de données de requête |
0.0.3.2 |
DSE_DSA_READ DSE_INSPECT_ENTRY DSE_SEARCH DSE_LIST_PARTITIONS DSE_LIST_CONT_CLASSES DSE_LIST_SUBORDINATES DSE_READ_REFERENCES DSE_REFERRAL DSE_COMPARE_ATTR_VALUE DSE_READ_ATTR DSE_STREAM |
Demande d'attributs associés à des éléments de données. |
Cet événement est consigné chaque fois qu'un élément de ressources ou de données lié à la sécurité est interrogé (que ce soit pour la valeur ou un attribut de l'élément de données). |
|
Modifier l'attribut d'élément de données |
0.0.3.3 |
DSE_UPDATE_SCHEMA DSE_CHANGE_TREE_NAME DSE_MOVE_SUBTREE DSE_MOVE_TREE DSE_MERGE_ENTRIES DSE_RENAME_ENTRY DSE_MOVE_SOURCE_ENTRY DSE_MOVE_DEST_ENTRY DSE_MUTATE_ENTRY DSE_ADD_VALUE DSE_REMOVE_BACKLINK DSE_ADD_PROPERTY DSE_DELETE_VALUE DSE_DELETE_PROPERTY DSE_UPDATE_CLASS_DEF DSE_UPDATE_ATTR_DEF DSE_CHANGE_REPLICA_TYPE DSE_MODIFY_CLASS_DEF DSE_RESEND_ENTRY DSE_MERGE_TREE DSE_CREATE_SUBREF DSE_CREATE_BACKLINK DSE_MODIFY_ENTRY |
Modification des attributs associés à des éléments de données. |
Cet événement est signalé en cas de modification d'un élément de ressources ou de données lié à la sécurité (la valeur ou un attribut de l'élément de données). |
Les sections suivantes présentent des exemples de génération des événements de gestion des éléments de données.
Cliquez sur Créer un élément de données pour générer un événement de création d'un élément de données, comme illustré dans l'exemple suivant :
Mar 16 20:56:24 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=SLE12-142,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLE12-142"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=novell","Id" : "32834"},"Entity" : {"SysAddr" : "100.1.2.194:42144"}},"Target" : {"Data" : {"ClassName" : "NCP Server","Name" : "CN=server2,O=novell","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.3.0","Name" : "CREATE_DATA_ITEM","CorrelationID" : "eDirectory#39#7e296d99-d6a7-4206-8f23-996d297ea7d6","SubEvent" : "DSE_CREATE_ENTRY"},"Time" : {"Offset" : 1489677984},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Supprimer l'élément de données pour générer un événement de suppression d'un élément de données, comme illustré dans l'exemple suivant :
Mar 16 21:46:32 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=SLE12-142,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLE12-142"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=novell","Id" : "32834"},"Entity" : {"SysAddr" : "100.1.2.194:26571"}},"Target" : {"Data" : {"Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.3.1","Name" : "DELETE_DATA_ITEM","CorrelationID" : "eDirectory#55#9509dc1f-ecf1-4306-8fec-1fdc0995f1ec","SubEvent" : "DSE_REMOVE_ENTRY"},"Time" : {"Offset" : 1489680992},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Attribut d'élément de données de requête pour générer un événement d'interrogation d'un attribut d'élément de données, comme illustré dans l'exemple suivant :
Mar 03 14:01:36 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLES12-194-12"}},"Initiator" : {"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194:0"}},"Target" : {"Data" : {"Attribute Name" : "EBATreeConfiguration","ClassName" : "Tree Root","Name" : "LNX-TREE-BUILD101","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.3.2","Name" : "QUERY_DATA_ITEM_ATTRIBUTE","CorrelationID" : "eDirectory#0#","SubEvent" : "DSE_READ_ATTR"},"Time" : {"Offset" : 1488529896},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Modifier l'attribut d'élément de données pour générer un événement de modification d'un attribut d'élément de données, comme illustré dans l'exemple suivant :
Mar 03 14:05:06 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLES12-194-12"}},"Initiator" : {"Account" : {"Name" : "CN=admin,OU=novell,OU=co,O=in","Id" : "32863"},"Entity" : {"SysAddr" : "100.1.2.194:214"}},"Target" : {"Data" : {"Attribute Name" : "modifiersName","Attribute Value" : "CN=admin,OU=novell,OU=co,O=in","ClassName" : "NCP Server","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in","Syntax" : "3","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.3.3","Name" : "MODIFY_DATA_ITEM_ATTRIBUTE","CorrelationID" : "eDirectory#32#f2dbd583-1f5c-459a-8c37-83d5dbf25c1f","SubEvent" : "DSE_ADD_VALUE"},"Time" : {"Offset" : 1488530106},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Les événements de cet ensemble ne sont applicables que dans le cadre d'opérations d'audit de sécurité d'eDirectory. Une opération de sécurité peut accorder/révoquer un accès ou une connexion, mais aussi autoriser/refuser une requête ou une modification de mot de passe. Cet ensemble d'événements aide également à détecter les tentatives d'intrusion sur le système eDirectory.
Tableau H-5 Taxinomie des événements de sécurité
|
Nom de l'événement |
Identificateur de l'événement |
Événement eDirectory correspondant |
Description |
Utilisation |
|---|---|---|---|---|
|
Associer l'approbation |
0.0.1.2 |
DSE_ADD_MEMBER DSE_ADD_VALUE |
Association d'un compte à l'approbation, ce qui confère les autorisations d'approbation au compte. |
Cet événement est signalé lors de la création d'une association approuvée. Par exemple, l'ajout d'un membre à un groupe. |
|
Dissocier l'approbation |
0.0.1.3 |
DSE_DELETE_MEMBER DSE_DELETE_VALUE |
Dissociation d'un compte et d'une approbation. |
Cet événement est signalé lors de la suppression d'une association approuvée existante. Par exemple, la suppression d'un membre d'un groupe. |
|
Modifier le jeton de sécurité du compte |
0.0.0.6 |
DSE_CHGPASS DSE_NMAS_LOG_SET_PWD DSE_NMAS_LOG_SET_LOGIN_CONFIG DSE_NMAS_LOG_DELETE_LOGIN_CONFIG DSE_NMAS_LOG_DELETE_LOGIN_SECRET DSE_NMAS_LOG_SET_LOGIN_SECRET DSE_NMAS_LOG_SET_DIST_PWD DSE_NMAS_LOG_DELETE_DIST_PWD DSE_NMAS_LOG_DELETE_PWD DSE_NMAS_LOG_CHANGE_PWD DSE_NMAS_LOG_DELETE_ALL_LOGIN_CONFIG DSE_NMAS_LOG_DELETE_ALL_LOGIN_SECRET |
Modifier le jeton de sécurité d'un compte existant. |
Un jeton de sécurité d'un compte peut être un mot de passe ou tout autre type d'authentification associé à un compte utilisateur. Dans ce cas, un compte utilisateur signifie tout type de compte sous lequel un utilisateur, une application ou un service système peut s'authentifier, puis agir en fonction des droits de ce compte. |
|
Jeton de sécurité du compte de requête |
0.0.12.3 |
DSE_NMAS_LOG_GET_LOGIN_CONFIG DSE_NMAS_LOG_GET_PWD_STATUS DSE_NMAS_LOG_GET_DIST_PWD DSE_NMAS_LOG_GET_PWD DSE_NMAS_LOG_GET_PWD_HISTORY DSE_NMAS_LOG_GET_ALL_LOGIN_CONFIG DSE_NMAS_LOG_GET_ALL_LOGIN_SECRET DSE_NMAS_LOG_CHECK_PWD_SYNTAX_POLICY |
Demande d'un jeton de sécurité pour un compte existant. |
Un jeton de sécurité d'un compte peut être un mot de passe ou tout autre type d'authentification associé à un compte utilisateur. Dans ce cas, un compte utilisateur signifie tout type de compte sous lequel un utilisateur, une application ou un service système peut s'authentifier, puis agir en fonction des droits de ce compte. |
|
Créer une connexion |
0.0.12.4 |
DSE_CONNECTION |
Création d'un canal de communication entre les composants du système. |
Cet événement est signalé lors de la création d'un canal de communication entre les composants du système. |
|
Mettre fin à la connexion |
0.0.12.5 |
DSE_CONNECTION |
Fermeture d'un canal de communication entre les composants du système. |
Cet événement est signalé lors de la fermeture d'un canal de communication existant entre les composants du système. |
|
Créer une session |
0.0.2.0 |
DSE_LOGIN_EX DSE_NMAS_LOG_SRVR_BEGIN_LOGIN DSE_NMAS_LOG_FINISH_LOGIN_STATUS DSE_NMAS_LOG_SASL_MECHANISM_RESULT |
Créer une session. |
Cet événement doit être signalé lors de la création d'une nouvelle session. Par exemple, une connexion au système eDirectory. |
|
Terminer la session |
0.0.2.1 |
DSE_LOGOUT |
Terminer une session existante. |
Cet événement doit être signalé chaque fois qu'une session existante (telle que définie ci-dessus) est terminée. Par exemple, une déconnexion du système eDirectory. |
|
Authentifier la session |
0.0.2.4 |
DSE_AUTHENTICATE DSE_IMPERSONATE DSE_EBA_BA_FAILURE DSE_VERIFY_PASS |
Une nouvelle identité est associée à une session. |
Lorsqu'un utilisateur s'authentifie pour une session, une nouvelle identité est associée à cette session. Cette identité est ensuite utilisée afin d'autoriser les requêtes pour des ressources protégées. |
|
Accorder l'accès à l'approbation |
0.0.1.7 |
DSE_ADD_VALUE |
Octroi d'accès à une approbation pour un objet. |
Cet événement est signalé lorsqu'un accès est accordé à une approbation pour un objet. |
|
Révoquer l'accès à l'approbation |
0.0.1.8 |
DSE_DELETE_VALUE |
Révocation de l'accès à une approbation pour un objet. |
Cet événement est signalé lors de la suppression d'un accès à une ressource à partir d'une approbation. |
|
Verrouillage en cas d'intrus |
0.0.0.9 |
DSE_ADD_VALUE |
Verrouillage d'un compte. |
Cet événement est signalé lors du verrouillage d'un compte. |
|
Déverrouillage du compte |
0.0.0.10 |
DSE_DELETE_VALUE |
Déverrouillage d'un compte verrouillé. |
Cet événement est signalé lors du déverrouillage d'un compte verrouillé. |
|
Accorder l'accès au compte |
0.0.0.7 |
DSE_ADD_VALUE |
Octroi d'accès à un compte pour un objet. |
Cet événement est signalé lorsqu'un accès à un compte est accordé à un objet. |
|
Révoquer l'accès au compte |
0.0.0.8 |
DSE_DELETE_VALUE |
Révocation de l'accès à un compte pour un objet. |
Cet événement est signalé lors de la suppression d'un objet d'un compte. |
|
Configuration de l'audit |
0.0.9.0 |
DSE_ADD_VALUE DSE_DELETE_VALUE |
Modification des paramètres de contrôle du fonctionnement du service d'audit. |
Cet événement est signalé en cas de modification apportée aux paramètres qui contrôlent le service d'audit. |
Les sections suivantes sont des exemples d'événements de sécurité.
Cliquez sur Associer l'approbation pour générer un événement lors de la création d'une nouvelle association approuvée, comme illustré dans l'exemple suivant :
Mar 16 21:57:28 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=SLE12-142,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLE12-142"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=novell","Id" : "32834"},"Entity" : {"SysAddr" : "100.1.2.194:26571"}},"Target" : {"Data" : {"Attribute Name" : "Member","Name" : "CN=group1,O=novell","Syntax" : "1","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.1.2","Name" : "ASSOCIATE_TRUST","CorrelationID" : "eDirectory#55#b22140b4-ad56-4592-942a-b44021b256ad","SubEvent" : "DSE_ADD_VALUE"},"Time" : {"Offset" : 1489681648},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Dissocier l'approbation pour générer un événement lors de la suppression d'une association approuvée existante, comme illustré dans l'exemple suivant :
Mar 07 22:20:41 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLES12-194-12"}},"Initiator" : {"Account" : {"Name" : "CN=admin,OU=novell,OU=co,O=in","Id" : "32863"},"Entity" : {"SysAddr" : "100.1.2.194:31446"}},"Target" : {"Data" : {"Attribute Name" : "Member","Attribute Value" : "CN=raghu,OU=novell,OU=co,O=in","ClassName" : "Group","Name" : "CN=RG,OU=novell,OU=co,O=in","SubTarget" : "CN=raghu,OU=novell,OU=co,O=in","Syntax" : "1","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.1.3","Name" : "DEASSOCIATE_TRUST","CorrelationID" : "eDirectory#74#55e2ccc4-d99a-4a6a-b3dd-c4cce2559ad9","SubEvent" : "DSE_DELETE_VALUE"},"Time" : {"Offset" : 1488905441},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Modifier le jeton de sécurité du compte pour générer un événement permettant de modifier le jeton de sécurité du compte utilisateur, comme illustré dans l'exemple suivant :
Mar 15 13:19:34 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=SLE12-142,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLE12-142"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=novell","Id" : "32834"},"Entity" : {"SysAddr" : "100.1.2.194:0"}},"Target" : {"Data" : {"ClassName" : "User","Version" : "2"},"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=user7,O=novell","Id" : "32869"}},"Action" : {"Event" : {"Id" : "0.0.0.6","Name" : "MODIFY_ACCOUNT_SECURITY_TOKEN","CorrelationID" : "eDirectory#25#db042b31-ea70-49d8-8b7b-312b04db70ea","SubEvent" : "DSE_CHGPASS"},"Time" : {"Offset" : 1489564174},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Jeton de sécurité du compte de requête pour générer un événement permettant d'interroger le jeton de sécurité du compte utilisateur, comme illustré dans l'exemple suivant :
Mar 15 13:19:34 eDirectory : INFO {"Source" : "eDirectory#NMAS","Observer" : {"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=SLE12-142,O=novell","Id" : "0"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLE12-142","SvcName" : "nmas"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194:0"}},"Target" : {"Data" : {"Version" : "2"},"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=user8,O=novell"}},"Action" : {"Event" : {"Id" : "0.0.12.3","Name" : "QUERY_ACCOUNT_SECURITY_TOKEN","CorrelationID" : "nmas#0#","SubEvent" : "DSE_NMAS_LOG_GET_PWD_STATUS"},"Time" : {"Offset" : 1489564174},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Créer une connexion pour générer un événement lors de la création d'un canal de communication entre les composants du système, comme illustré dans l'exemple suivant :
Mar 07 15:53:25 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLES12-194-12"}},"Initiator" : {"Account" : {"Domain" : "LNX-TREE-BUILD101"},"Entity" : {"SysAddr" : "1100.1.2.194:64708"}},"Target" : {"Data" : {"ConnID" : "63","Module" : "NCP Engine","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in","State" : "Create","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.13.1","Name" : "CREATE_CONNECTION","CorrelationID" : "eDirectory#4294967295#","SubEvent" : "DSE_CONNECTION"},"Time" : {"Offset" : 1488882205},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Mettre fin à la connexion pour générer un événement en cas d'arrêt d'un canal de communication existant entre les composants du système, comme illustré dans l'exemple suivant :
Mar 07 15:46:44 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLES12-194-12"}},"Initiator" : {"Account" : {"Domain" : "LNX-TREE-BUILD101"},"Entity" : {"SysAddr" : "100.1.2.194:63684"}},"Target" : {"Data" : {"ConnID" : "65","Module" : "NCP Engine","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in","State" : "Destroy","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.13.2","Name" : "TERMINATE_CONNECTION","CorrelationID" : "eDirectory#4294967295#","SubEvent" : "DSE_CONNECTION"},"Time" : {"Offset" : 1488881804},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Créer une session pour générer un événement de création d'une session, comme illustré dans l'exemple suivant :
Mar 06 16:21:47 eDirectory : INFO {"Source" : "eDirectory#NMAS","Observer" : {"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in","Id" : "nds:7"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLES12-194-12","SvcName" : "nmas"}},"Initiator" : {"Account" : {"Name" : "CN=admin,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194:54823"}},"Target" : {"Data" : {"Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.2.0","Name" : "CREATE_SESSION","CorrelationID" : "nmas#262183#","SubEvent" : "DSE_NMAS_LOG_FINISH_LOGIN_STATUS"},"Time" : {"Offset" : 1488797507},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Terminer la session pour générer un événement d'arrêt d'une session, comme illustré dans l'exemple suivant :
Mar 16 21:02:23 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "VLV_MEM","Name" : "CN=stdir-vm-53,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "stdir-vm-53.labs.blr.novell.com"}},"Initiator" : {"Account" : {"Name" : "[Public]"},"Entity" : {"SysAddr" : "164.99.91.92:8147"},"Assertions" : {"NetAddress" : "100.1.2.194"}},"Target" : {"Data" : {"Name" : "CN=stdir-vm-53,O=novell","SubTarget" : "CN=JPass,OU=users,O=novell","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.2.1","Name" : "TERMINATE_SESSION","CorrelationID" : "eDirectory#42#","SubEvent" : "DSE_LOGOUT"},"Time" : {"Offset" : 1489678343},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Authentifier la session pour générer un événement lorsqu'une nouvelle identité est associée à la session, comme illustré dans l'exemple suivant :
Mar 03 15:45:51 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLES12-194-12"}},"Initiator" : {"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194:30404"},"Assertions" : {"NetAddress" : "1100.1.2.194","NullPassword" : "FALSE","bindery login" : "FALSE"}},"Target" : {"Data" : {"ClassName" : "NCP Server","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in","SubTarget" : "CN=SLES12-194-12,OU=novell,OU=co,O=in","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.2.4","Name" : "AUTHENTICATE_SESSION","CorrelationID" : "eDirectory#28#","SubEvent" : "DSE_AUTHENTICATE"},"Time" : {"Offset" : 1488536151},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Accorder l'accès à l'approbation pour générer un événement lorsqu'un accès est accordé à une approbation pour un objet, comme illustré dans l'exemple suivant :
Mar 03 14:33:06 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLES12-194-12"}},"Initiator" : {"Account" : {"Name" : "CN=admin,OU=novell,OU=co,O=in","Id" : "32863"},"Entity" : {"SysAddr" : "100.1.2.194:214"}},"Target" : {"Data" : {"Attribute Name" : "Message Server","Attribute Value" : "Attribute Read","Name" : "[Public]","SubTarget" : "CN=raghu,OU=novell,OU=co,O=in","Syntax" : "17","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.1.7","Name" : "GRANT_TRUST_ACCESS","CorrelationID" : "eDirectory#32#9a868af1-7b8d-4426-ae41-f18a869a8d7b","SubEvent" : "DSE_ADD_VALUE"},"Time" : {"Offset" : 1488531786},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Révoquer l'accès à l'approbation pour générer un événement lorsque l'accès à une ressource est supprimé d'une approbation, comme illustré dans l'exemple suivant :
Mar 16 20:57:33 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=SLE12-142,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLE12-142"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=novell","Id" : "32834"},"Entity" : {"SysAddr" : "100.1.2.194:43936"}},"Target" : {"Data" : {"Attribute Name" : "nsimHint","Attribute Value" : "Attribute Write, Attribute Self, Attribute Inherit CTL","Syntax" : "17","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.1.8","Name" : "REVOKE_TRUST_ACCESS","CorrelationID" : "eDirectory#41#156c162f-245b-4751-90da-2f166c155b24","SubEvent" : "DSE_DELETE_VALUE"},"Time" : {"Offset" : 1489678053},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Verrouillage en cas d'intrusion pour générer un événement lors du verrouillage d'un compte, comme illustré dans l'exemple suivant :
Mar 21 09:25:29 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "NET-REPORT","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLES12-194-12"}},"Initiator" : {"Account" : {"Name" : "CN=novell-emp222,OU=novell,OU=co,O=in","Id" : "33795"},"Entity" : {"SysAddr" : "100.1.2.194:0"}},"Target" : {"Data" : {"Account Locked" : "TRUE","Attribute Name" : "Login Intruder Address","ClassName" : "User","Intruder Address" : "TCP: 164.99.179.164:49121","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in","Reset Time" : "03/21/17 09:27:29","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.0.9","Name" : "INTRUDER_LOCKOUT","CorrelationID" : "eDirectory#0#0ae8da6e-208f-4c44-b515-6edae80a8f20","SubEvent" : "DSE_ADD_VALUE"},"Time" : {"Offset" : 1490068529},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Déverrouillage du compte pour générer un événement lors du déverrouillage d'un compte verrouillé, comme illustré dans l'exemple suivant :
Mar 21 12:09:00 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "NET-REPORT","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLES12-194-12"}},"Initiator" : {"Account" : {"Domain" : "NET-REPORT","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194:0"}},"Target" : {"Data" : {"Attribute Name" : "Locked By Intruder","Attribute Value" : "True","ClassName" : "User","Name" : "CN=novell-emp312,OU=novell,OU=co,O=in","Syntax" : "7","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.0.10","Name" : "ACCOUNT_UNLOCK","CorrelationID" : "eDirectory#0#f5fdd0c4-0595-4e82-8b8f-c4d0fdf59505","SubEvent" : "DSE_DELETE_VALUE"},"Time" : {"Offset" : 1490078340},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Accorder l'accès au compte pour générer un événement lorsque l'accès est accordé à un compte pour un objet, comme illustré dans l'exemple suivant :
Mar 16 15:23:16 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=SLE12-142,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLE12-142"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=novell","Id" : "32834"},"Entity" : {"SysAddr" : "100.1.2.194:0"}},"Target" : {"Data" : {"Attribute Name" : "Print Job Configuration","Attribute Value" : "Attribute Read, Attribute Write","ClassName" : "User","Name" : "CN=usr54412,O=novell","SubTarget" : "CN=usr54412,O=novell","Syntax" : "17","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.0.7","Name" : "GRANT_ACCOUNT_ACCESS","CorrelationID" : "eDirectory#40#1718277b-ed75-41f2-8610-7b27181775ed","SubEvent" : "DSE_ADD_VALUE"},"Time" : {"Offset" : 1489657996},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
REMARQUE :lorsqu'un compte utilisateur est considéré comme un ayant droit sur les ACL, l'événement Accorder l'accès au compte est généré.
Cliquez sur Révoquer l'accès au compte pour générer un événement lorsqu'un objet est supprimé à partir d'un compte, comme illustré dans l'exemple suivant :
Mar 18 22:44:40 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "VLV_MEM","Name" : "CN=stdir-vm-53,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "stdir-vm-53.labs.blr.novell.com"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=novell","Id" : "32872"},"Entity" : {"SysAddr" : "100.1.2.194:20966"}},"Target" : {"Data" : {"Attribute Name" : "Description","Attribute Value" : "Attribute Supervisor","ClassName" : "User","Name" : "CN=user1,O=novell","SubTarget" : "CN=pc2,O=novell","Syntax" : "17","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.0.8","Name" : "REVOKE_ACCOUNT_ACCESS","CorrelationID" : "eDirectory#57#67ba4065-a7de-4581-b62e-6540ba67dea7","SubEvent" : "DSE_DELETE_VALUE"},"Time" : {"Offset" : 1489857280},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
REMARQUE :lorsqu'un compte utilisateur est considéré comme un ayant droit sur les ACL, l'événement Révoquer l'accès au compte est généré.
Cliquez sur Configuration de l'audit pour générer un événement lors de toute modification des paramètres qui contrôlent le service d'audit, comme illustré dans l'exemple suivant :
Mar 03 11:00:23 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLES12-194-12"}},"Initiator" : {"Account" : {"Name" : "CN=admin,OU=novell,OU=co,O=in","Id" : "32863"},"Entity" : {"SysAddr" : "100.1.2.194:64213"}},"Target" : {"Data" : {"Attribute Name" : "xdasConfiguration","Attribute Value" : "dsaccount=Computer$Organization$Organizational Person$Person$User$$","ClassName" : "NCP Server","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in","Syntax" : "3","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.9.0","Name" : "AUDIT_CONFIG","CorrelationID" : "eDirectory#28#a56628e8-38fc-43c5-93c2-e82866a5fc38","SubEvent" : "DSE_ADD_VALUE"},"Time" : {"Offset" : 1488519023},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cet ensemble d'événements est associé à la gestion des services ou des applications. Les services ou les applications incluent des modules, des agents et des processus en arrière-plan.
Tableau H-6 Taxinomie des événements de gestion de service ou d'application
|
Nom de l'événement |
Identificateur de l'événement |
Événement eDir correspondant |
Description |
Cliquez sur |
|---|---|---|---|---|
|
Activer le service |
0.0.4.5 |
DSE_CHANGE_MODULE_STATE DSE_NMAS_LOG_PWD_POLICY_AGENT_REG DSE_NMAS_LOG_DIST_PWD_AGENT_REG DSE_NMAS_LOG_PWD_AGENT_REG DSE_NMAS_LOG_LTSS_AGENT_REG DSE_NMAS_LOG_PWD_CHANGE_AGENT_REG |
Activer un service ou une application. |
Cet événement est signalé en cas d'activation d'un service, d'une opération ou d'une fonction. Par exemple, le chargement d'un module eDirectory. |
|
Désactiver le service |
0.0.4.4 |
DSE_REMOTE_SERVER_DOWN DSE_CHANGE_MODULE_STATE DSE_NMAS_LOG_PWD_POLICY_AGENT_DEREG DSE_NMAS_LOG_DIST_PWD_AGENT_DEREG DSE_NMAS_LOG_PWD_AGENT_DEREG DSE_NMAS_LOG_LTSS_AGENT_DEREG DSE_NMAS_LOG_PWD_CHANGE_AGENT_DEREG |
Désactiver un service ou une application. |
Cet événement est signalé en cas de désactivation d'un service, d'une opération ou d'une fonction. Par exemple, le déchargement d'un module eDirectory. |
|
Invoquer le service |
0.0.5.0 |
DSE_BACKLINK_PROC_DONE DSE_LIMBER_DONE DSE_MOVE_TREE_START DSE_PURGE_START DSE_RECV_REPLICA_UPDATES DSE_SEND_REPLICA_UPDATES DSE_START_JOIN DSE_START_UPDATE_REPLICA DSE_START_UPDATE_SCHEMA DSE_SYNC_PART_START DSE_SYNC_SVR_OUT_START |
Invoquer un service ou une application. |
Cet événement est signalé lorsqu'un service lié à la sécurité est invoqué. Par exemple, le déclenchement d'un processus en arrière-plan. |
|
Terminer le service |
0.0.5.1 |
DSE_REMOVE_ATTR_DEF DSE_ABORT_JOIN DSE_END_UPDATE_REPLICA DSE_END_UPDATE_SCHEMA DSE_JOIN_DONE DSE_MOVE_TREE_END DSE_PURGE_END DSE_SCHEMA_SYNC DSE_SYNC_PART_END DSE_SYNC_SVR_OUT_END |
Arrêter un service ou une application. |
Cet événement est signalé en cas d'arrêt d'un service. Par exemple, l'arrêt d'un processus en arrière-plan. |
|
Modifier la configuration du service |
0.0.4.2 |
DSE_ALLOW_LOGIN DSE_UPDATE_REPLICA DSE_EBA_MOVE_EBA_CA DSE_GEN_CA_KEYS DSE_RECERT_PUB_KEY DSE_EBA_REQ_BA_MATERIAL DSE_EBA_REQ_SERVER_BA_MATERIAL DSE_NAME_COLLISION DSE_SERVER_RENAME DSE_SERVER_ADDRESS_CHANGE DSE_SYNC_PARTITION DSE_SYNC_SCHEMA DSE_EBA_ENABLE_PURE_MODE DSE_EBA_ISSUE_NCPCA_CERT DSE_EBA_REVOKE_NCPCA_CERT |
Modification des données de configuration associées à un service eDirectory. |
Cet événement est signalé en cas de modification des données de configuration. Par exemple, toute modification apportée à la configuration EBA déclenche cet événement. |
Les sections suivantes présentent des exemples d'événements liés à la gestion des services ou des applications.
Cliquez sur Activer le service pour générer un événement lorsqu'un service, une opération ou une fonction est activée, comme illustré dans l'exemple suivant :
Mar 07 10:03:15 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLES12-194-12"}},"Initiator" : {"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "1100.1.2.194:0"}},"Target" : {"Data" : {"Module State" : "Loaded","Name" : "libxdasauditds.so","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.4.5","Name" : "ENABLE_SERVICE","CorrelationID" : "eDirectory#4294967295#","SubEvent" : "DSE_CHANGE_MODULE_STATE"},"Time" : {"Offset" : 1488861195},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Désactiver le service pour générer un événement lorsqu'une opération, une fonction ou un service est désactivé, comme illustré dans l'exemple suivant :
Mar 10 11:00:07 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "VLV_MEM","Name" : "CN=stdir-vm-53,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "stdir-vm-53.labs.blr.novell.com"}},"Initiator" : {"Account" : {"Domain" : "VLV_MEM","Name" : "CN=stdir-vm-53,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194:0"}},"Target" : {"Data" : {"Module State" : "Unloading","Name" : "libsnmpinst.so","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.4.4","Name" : "DISABLE_SERVICE","CorrelationID" : "eDirectory#4294967295#","SubEvent" : "DSE_CHANGE_MODULE_STATE"},"Time" : {"Offset" : 1489123807},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Invoquer le service pour générer un événement lorsqu'un service de sécurité pertinent est invoqué, comme illustré dans l'exemple suivant :
Mar 03 14:41:44 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLES12-194-12"}},"Initiator" : {"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194:0"}},"Target" : {"Data" : {"Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.5.0","Name" : "INVOKE_SERVICE","CorrelationID" : "eDirectory#0#","SubEvent" : "DSE_SYNC_PART_START"},"Time" : {"Offset" : 1488532304},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Terminer le service pour générer un événement de fin d'un service, comme illustré dans l'exemple suivant :
Mar 03 14:41:44 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLES12-194-12"}},"Initiator" : {"Account" : {"Domain" : "LNX-TREE-BUILD101","Name" : "CN=SLES12-194-12,OU=novell,OU=co,O=in"},"Entity" : {"SysAddr" : "100.1.2.194:0"}},"Target" : {"Data" : {"Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.5.1","Name" : "TERMINATE_SERVICE","CorrelationID" : "eDirectory#0#","SubEvent" : "DSE_SYNC_PART_END"},"Time" : {"Offset" : 1488532304},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Modifier la configuration du service pour générer un événement signalé lors de la modification des données de configuration, comme illustré dans l'exemple suivant :
Mar 16 21:07:46 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=SLE12-142,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLE12-142"}},"Initiator" : {"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=SLE12-142,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194:40159"}},"Target" : {"Data" : {"Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.4.2","Name" : "MODIFY_SERVICE_CONFIG","CorrelationID" : "eDirectory#34#","SubEvent" : "DSE_SYNC_PARTITION"},"Time" : {"Offset" : 1489678666},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Très rarement générés, les événements opérationnels sont considérés comme importants. Par exemple, l'arrêt d'un serveur essentiel pour l'entreprise est exceptionnel, car cette opération est impossible sans avoir obtenu l'autorisation d'une personne.
Tableau H-7 Taxinomie des événements opérationnels
|
Nom de l'événement |
Identificateur de l'événement |
Événement eDir correspondant |
Description |
Utilisation |
|---|---|---|---|---|
|
Démarrer le système |
0.0.8.0 |
DSE_AGENT_OPEN_LOCAL DSE_RELOAD_DS |
Démarrer un système |
Cet événement est signalé lorsqu'un serveur, un système ou une application essentielle démarre. |
|
Arrêter le système |
0.0.8.1 |
DSE_AGENT_CLOSE_LOCAL |
Arrêter un système |
Cet événement est signalé lorsqu'un serveur, un système ou une application essentielle s'arrête. |
|
Sauvegarder la zone de stockage de données |
0.0.8.4 |
DSE_BACKUP_ENTRY |
Sauvegarder la zone de stockage de données |
Cet événement est signalé lorsqu'un serveur, un système ou une application essentielle sauvegarde une zone de stockage de données importante. |
|
Récupérer la zone de stockage de données |
0.0.8.5 |
DSE_RESTORE_ENTRY |
Récupérer la zone de stockage de données |
Cet événement est signalé lorsqu'un serveur, un système ou une application essentielle restaure une zone de stockage de données importante. |
|
Opérations internes |
0.1.0.3.0.0 |
DSE_CRC_FAILURE DSE_DELETE_SUBTREE DSE_DELETE_UNUSED_EXTREF DSE_DSA_BAD_VERB DSE_LOST_ENTRY DSE_NEW_SCHEMA_EPOCH DSE_NO_REPLICA_PTR DSE_PURGE_ENTRY_FAIL DSE_EBA_ISSUE_CRL |
Événement relatif au fonctionnement d'un service ou d'une application. |
Utilisé pour la consignation des événements générés par des opérations internes d'eDirectory. |
|
Modifier le contexte du processus |
0.0.4.3 |
DSE_PARTITION_STATE_CHG DSE_LDAP_MODLDAPSERVER DSE_PART_STATE_CHG_REQ DSE_REPAIR_TIME_STAMPS DSE_RESET_DS_COUNTERS DSE_SET_NEW_MASTER DSE_SYNTHETIC_TIME DSE_SPLIT_DONE DSE_SPLIT_PARTITION DSE_JOIN_PARTITIONS DSE_ABORT_PARTITION_OP DSE_LOW_LEVEL_JOIN |
Modifier un contexte de traitement |
Cet événement est signalé en cas de modification de tout attribut d'un contexte de processus. Par exemple, la création d'une partition déclenche cet événement. |
Les sections suivantes présentent des exemples pour les événements exceptionnels.
Cliquez sur Démarrer le système pour générer un événement lorsqu'un serveur, un système ou une application essentielle démarre, comme illustré dans l'exemple suivant :
Mar 13 11:20:24 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "VLV_MEM","Name" : "CN=stdir-vm-53,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "stdir-vm-53.labs.blr.novell.com"}},"Initiator" : {"Account" : {"Domain" : "VLV_MEM","Name" : "CN=stdir-vm-53,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194:0"}},"Target" : {"Data" : {"Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.8.0","Name" : "START_SYSTEM","CorrelationID" : "eDirectory#0#","SubEvent" : "DSE_AGENT_OPEN_LOCAL"},"Time" : {"Offset" : 1489384224},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Arrêter le système pour générer un événement lorsqu'un serveur, un système ou une application essentielle s'arrête, comme illustré dans l'exemple suivant :
Mar 13 11:16:23 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "VLV_MEM","Name" : "CN=stdir-vm-53,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "stdir-vm-53.labs.blr.novell.com"}},"Initiator" : {"Account" : {"Domain" : "VLV_MEM","Name" : "CN=stdir-vm-53,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194:0"}},"Target" : {"Data" : {"Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.8.1","Name" : "SHUTDOWN_SYSTEM","CorrelationID" : "eDirectory#0#","SubEvent" : "DSE_AGENT_CLOSE_LOCAL"},"Time" : {"Offset" : 1489383983},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Sauvegarder le stockage de données pour générer un événement lorsqu'un serveur, un système ou une application essentielle sauvegarde une zone de stockage de données, comme illustré dans l'exemple suivant :
Mar 14 13:03:29 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "VLV_MEM","Name" : "CN=stdir-vm-53,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "stdir-vm-53.labs.blr.novell.com"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=novell","Id" : "32872"},"Entity" : {"SysAddr" : "100.1.2.194:13018"}},"Target" : {"Data" : {"Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.8.4","Name" : "BACKUP_DATA_STORE","CorrelationID" : "eDirectory#43#","SubEvent" : "DSE_BACKUP_ENTRY"},"Time" : {"Offset" : 1489476809},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Récupérer le stockage de données pour générer un événement lorsqu'un serveur, un système ou une application essentielle récupère une zone de stockage de données, comme illustré dans l'exemple suivant :
Mar 14 14:16:02 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "VLV_MEM","Name" : "CN=stdir-vm-53,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "stdir-vm-53.labs.blr.novell.com"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=novell","Id" : "32872"},"Entity" : {"SysAddr" : "100.1.2.194:10203"}},"Target" : {"Data" : {"Name" : "OU=users,O=novell","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.8.5","Name" : "RECOVER_DATA_STORE","CorrelationID" : "eDirectory#36#bd5cb85b-0f9f-4268-a221-5bb85cbd9f0f","SubEvent" : "DSE_RESTORE_ENTRY"},"Time" : {"Offset" : 1489481162},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Opérations internes pour générer cet événement lorsque des événements de consignation sont générés par les opérations internes d'eDirectory, comme illustré dans l'exemple suivant :
Mar 15 13:45:13 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "VLV_MEM","Name" : "CN=stdir-vm-53,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "stdir-vm-53.labs.blr.novell.com"}},"Initiator" : {"Account" : {"Domain" : "VLV_MEM","Name" : "CN=stdir-vm-53,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194:0"}},"Target" : {"Data" : {"ValidityEnd" : "03/16/2017 01:45:13 PM","ValidityStart" : "03/15/2017 01:45:13 PM","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.12.2","Name" : "INTERNAL_OPERATIONS","CorrelationID" : "eDirectory#0#","SubEvent" : "DSE_EBA_ISSUE_CRL"},"Time" : {"Offset" : 1489565713},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
Cliquez sur Modifier le contexte du processus pour générer un événement en cas de modification d'attributs d'un contexte de processus, comme illustré dans l'exemple suivant :
Mar 16 21:07:46 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=SLE12-142,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194","SysName" : "SLE12-142"}},"Initiator" : {"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=SLE12-142,O=novell"},"Entity" : {"SysAddr" : "100.1.2.194:0"}},"Target" : {"Data" : {"Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.5.3","Name" : "MODIFY_PROCESS_CONTEXT","CorrelationID" : "eDirectory#0#042b517b-41c4-4c9b-b5b5-7b512b04c441","SubEvent" : "DSE_PARTITION_STATE_CHG"},"Time" : {"Offset" : 1489678666},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}