L'attività di revisione dei log degli eventi consente di isolare, eseguire diagnosi e risolvere i problemi dell'ambiente in uso. In questa sezione vengono fornite informazioni utili per abilitare la registrazione degli eventi, comprendere questo processo e come utilizzare gli archivi dei log.
Per consentire la revisione e la generazione di rapporti sulle azioni degli amministratori aggiunti, in DRA vengono registrate tutte le operazioni degli utenti nell'archivio dei log che risiede nel computer del server di amministrazione. Le operazioni degli utenti includono tutti i tentativi di modificare le definizioni, ad esempio l'aggiornamento di account utente, l'eliminazione di gruppi o la ridefinizione di viste ActiveView. Vengono registrate anche operazioni interne specifiche, come ad esempio l'inizializzazione del server di amministrazione e le relative informazioni sul server. Oltre alla registrazione di questi eventi di revisione, vengono registrati anche i valori precedenti e successivi a tali eventi, affinché sia possibile visualizzare esattamente quali modifiche sono state apportate.
Per memorizzare in modo sicuro i dati dei log archiviati, DRA utilizza una cartella, NetIQLogArchiveData, detta archivio dei log. In DRA i log vengono costantemente archiviati eliminando i dati più vecchi per lasciare spazio a quelli più recenti mediante un processo di pulitura.
Gli eventi di revisione memorizzati nei file di archivio dei log vengono utilizzati per visualizzare i rapporti di dettaglio delle attività, ad esempio per mostrare le modifiche apportate a un oggetto durante un intervallo di tempo specificato. È inoltre possibile configurare DRA per esportare le informazioni dai file di archivio dei log in un database SQL Server, utilizzato da NetIQ Reporting Center per visualizzare i rapporti di gestione.
Gli eventi di revisione vengono sempre scritti nell'archivio dei log. È possibile abilitare o disabilitare la scrittura degli eventi anche nei registri eventi di Windows.
Quando si installa DRA, gli eventi di revisione non vengono registrati nel registro eventi di Windows per default. È possibile abilitare questo tipo di registrazione modificando una chiave del Registro di sistema.
AVVERTENZA:prestare attenzione quando si modifica il Registro di sistema di Windows. In caso di errori nel Registro di sistema, il computer potrebbe cessare di funzionare. Se si verifica un errore, è possibile ripristinare il Registro di sistema allo stato dell'ultimo avvio corretto del computer. Per ulteriori informazioni, consultare la Guida dell'Editor del Registro di sistema di Windows.
Per abilitare la revisione degli eventi:
Fare clic su Start > Esegui.
Digitare regedit nel campo Apri e fare clic su OK.
Espandere la chiave di registro seguente: HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Modules\ServerConfiguration\.
Fare clic su Modifica > Nuovo > valore DWORD.
Immettere IsNTAuditEnabled come nome della chiave.
Fare clic su Modifica > Modifica.
Immettere 1 nel campo Dati valore e fare clic su OK.
Chiudere l'editor del Registro di sistema.
Per disabilitare la revisione degli eventi:
Fare clic su Start > Esegui.
Digitare regedit nel campo Apri e fare clic su OK.
Espandere la chiave di registro seguente: HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Modules\ServerConfiguration\.
Selezionare la chiave IsNTAuditEnabled.
Fare clic su Modifica > Modifica.
Immettere 0 nel campo Dati valore e fare clic su OK.
Chiudere l'editor del Registro di sistema.
Affinché tutte le azioni degli utenti vengano sottoposte a revisione, in DRA sono disponibili metodi alternativi di registrazione quando il prodotto non può verificare l'attività di registrazione. Quando si installa DRA, nel registro vengono aggiunti la chiave AuditFailsFilePath e il percorso per consentire le azioni seguenti:
Se DRA rileva che gli eventi di revisione non vengono più registrati in un archivio dei log, esegue la registrazione di tali eventi in un file locale nel server di amministrazione.
Se non è possibile scrivere gli eventi di revisione in un file locale, DRA esegue la scrittura nel registro eventi di Windows.
Se non è possibile scrivere gli eventi di revisione nel registro eventi di Windows, il prodotto esegue la scrittura nel log di DRA.
Se DRA rileva che gli eventi di revisione non vengono registrati, vengono bloccate anche le operazioni degli utenti.
Per abilitare le operazioni di scrittura quando l'archivio dei log non è disponibile, è necessario impostare anche un valore per la chiave AllowOperationsOnAuditFailure del registro.
AVVERTENZA:prestare attenzione quando si modifica il Registro di sistema di Windows. In caso di errori nel Registro di sistema, il computer potrebbe cessare di funzionare. Se si verifica un errore, è possibile ripristinare il Registro di sistema allo stato dell'ultimo avvio corretto del computer. Per ulteriori informazioni, consultare la Guida dell'Editor del Registro di sistema di Windows.
Per abilitare le operazioni di scrittura:
Fare clic su Start > Esegui.
Digitare regedit nel campo Apri e fare clic su OK.
Espandere la chiave di registro seguente: HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Audit\.
Fare clic su Modifica > Nuovo > valore DWORD.
Immettere AllowOperationsOnAuditFailure come nome della chiave.
Fare clic su Modifica > Modifica.
Immettere 736458265 nel campo Dati valore.
Selezionare Decimale nel campo Base e fare clic su OK.
Chiudere l'editor del Registro di sistema.
In DRA i dati relativi all'attività degli utenti vengono registrati in archivi dei log che risiedono nel server di amministrazione. DRA crea partizioni giornaliere degli archivi dei log per memorizzare i dati raccolti e normalizzati nel corso della giornata. Come convenzione di denominazione per le partizioni degli archivi dei log viene utilizzata la data nell'ora locale del server di amministrazione (AAAAMMGG).
Se è stato abilitato il servizio di raccolta dei rapporti di gestione, i dati degli archivi dei log vengono esportati in un database SQL Server che funge da origine per i rapporti di gestione di DRA.
Inizialmente, i dati degli archivi dei log vengono conservati di default per un tempo illimitato in DRA. L'archivio dei log può raggiungere una dimensione massima stabilita in fase di installazione sulla base dello spazio disponibile sul disco rigido. Quando l'archivio dei log supera la dimensione massima, i nuovi eventi di revisione non vengono più memorizzati. È possibile impostare un limite di tempo per la permanenza dati, affinché DRA rimuova i dati più vecchi per lasciare spazio ai dati più recenti mediante un processo di pulitura. Prima di abilitare la pulitura, accertarsi di aver predisposto una strategia di backup. È possibile configurare il periodo di permanenza degli archivi dei log mediante l'utility Log Archive Configuration. Per ulteriori informazioni, vedere Modifica delle impostazioni di pulitura degli archivi dei log.
Per visualizzare i dati memorizzati nei file di archivio dei log, utilizzare l'utility Log Archive Viewer. L'utility Log Archive Viewer è disponibile in NetIQ DRA Log Archive Resource Kit (LARK), che è possibile scegliere di installare insieme a DRA. Per ulteriori informazioni, vedere il documento NetIQ DRA Log Archive Resource Kit Technical Reference (Riferimento tecnico per NetIQ DRA Log Archive Resource Kit).
Un file di archivio dei log è una raccolta di blocchi di record. Poiché i file di archivio dei log sono file binari compressi che non risiedono in un database fisico, non è necessario utilizzare Microsoft SQL Server Management Studio per eseguire il backup degli archivi dei log. Se si dispone di un sistema automatico di backup dei file, il backup dei file di archivio dei log viene eseguito automaticamente come per qualsiasi altro file.
Per pianificare la strategia di backup, tenere presenti le best practice seguenti:
Ogni giorno viene creata una partizione contenente i dati degli eventi relativi al giorno stesso. Quando si abilita la pulitura, il servizio di archiviazione log esegue automaticamente la pulitura dei dati in tali partizioni ogni 90 giorni per default. La strategia di backup deve tenere in considerazione la pianificazione della pulitura per determinare la frequenza dei backup. Quando le partizioni di archiviazione dei log vengono pulite, DRA elimina i file binari. I dati eliminati mediante la pulitura non possono essere recuperati e devono essere ripristinati da un backup. Per ulteriori informazioni, vedere Modifica delle impostazioni di pulitura degli archivi dei log.
Il backup delle partizioni deve essere eseguito solo quando le partizioni sono chiuse. In condizioni normali, una partizione viene chiusa entro 2 ore dalla mezzanotte del giorno successivo.
Eseguire il backup e il ripristino delle cartelle delle partizioni e delle relative sottocartelle come un'unica unità. Eseguire il backup del file VolumeInfo.xml nell'ambito del backup della partizione.
Se si desidera ripristinare le partizioni di archivio dei log per i rapporti, verificare che il relativo backup mantenga il formato originale o sia possibile ripristinarlo.
Quando si configura il processo per il backup dei file di archivio dei log, NetIQ consiglia di escludere le sottocartelle index_data e CubeExport ubicate nella cartella principale di archivio dei log. Queste sottocartelle contengono dati temporanei e il backup non deve essere eseguito.
Quando si installa DRA, la pulitura degli archivi dei log è disabilitata per default. Quando si stabiliscono procedure di backup regolari per i file di archivio dei log, è necessario abilitare la pulitura degli archivi dei log per risparmiare spazio su disco. Per modificare il numero di giorni allo scadere dei quali viene eseguita la pulitura delle partizioni di archivio dei log, utilizzare l'utility Log Archive Configuration.
Per modificare il numero di giorni allo scadere dei quali viene eseguita la pulitura delle partizioni di archivio dei log:
Eseguire il login al server di amministrazione utilizzando un account che sia membro del gruppo di amministratori locali.
Avviare Log Archive Configuration (LogArchiveUtility.exe) dalla cartella NetIQ\DRA\NetIQLogArchive.
Fare clic su Log Archive Server Settings (Impostazioni server archivio log).
Se si desidera abilitare la pulitura delle partizioni, impostare il valore del campo Partition Grooming Enabled (Pulitura partizioni abilitata) su True (Vero).
Digitare il numero di giorni per cui si desidera conservare le partizioni di archivio dei log prima della pulitura nel campo Number of Days before Grooming (Numero di giorni prima della pulitura).
Fare clic su Apply (Applica).
Fare clic su Yes (Sì).
Fare clic su Close (Chiudi).
Individuare la cartella <percorso di LogArchiveData>\<Nome partizione> e
|
Se il valore è |
|
|---|---|
|
Selezionato |
Fare clic su Sì nel messaggio di conferma per riavviare il servizio di archiviazione log di NetIQ Security Manager. NOTA:se si modifica una qualsiasi impostazione di archiviazione dei log, per rendere effettive le modifiche è necessario riavviare il servizio di archiviazione log. |
|
Non selezionato |
Se l'attributo "File is ready for archiving" (File pronto per l'archiviazione) dei file o delle cartelle all'interno delle partizioni specificate non è selezionato, è necessario modificare il file di configurazione per abilitare la pulitura degli archivi dei log. Per comprendere perché questo attributo potrebbe essere selezionato o meno, vedere la sezione Additional Information (Informazioni aggiuntive) nell'articolo della knowledgebase How do you configure the data retention period for DRA Logarchival Data? (Come si configura il periodo di permanenza dati per gli archivi dei log di DRA?).
Per abilitare il server di archiviazione log di DRA ed eseguire la pulitura dei dati non archiviati:
Eseguire localmente il login alla console Windows di ciascun server DRA come membro del gruppo di amministratori locale.
Utilizzare un editor di testo per aprire il file C:\ProgramData\NetIQ\Directory Resource Administrator\LogArchiveConfiguration.config e individuare la riga <Property name="GroomUnarchivedData" value="false" />.
Modificare "false" impostando "true" e salvare il file.
Riavviare il servizio NetIQ DRA LogArchive.
NOTA:se si modifica una qualsiasi impostazione di archiviazione dei log, per rendere effettive le modifiche è necessario riavviare il servizio di archiviazione log.