A auditoria de atividade nos registros de eventos pode ajudar você a isolar, diagnosticar e resolver problemas em seu ambiente. Esta seção fornece informações para ajudá-lo a habilitar e entender o registro de eventos e como trabalhar com arquivos de registro.
Para permitir que você revise e relate as ações do administrador assistente, o DRA registra todas as operações do usuário no arquivo de registros no computador do servidor de Administração. As operações do usuário incluem todas as tentativas de mudar definições, como atualizar contas de usuários, apagar grupos ou redefinir as ActiveViews. O DRA também registra operações internas específicas, como inicialização do servidor de administração e informações relacionadas ao servidor. Além de registrar esses eventos de auditoria, o DRA registra os valores de antes e após o evento para que você possa ver exatamente o que foi mudado.
O DRA usa uma pasta, NetIQLogArchiveData, chamada de arquivo de registros para armazenar com segurança dados do registro arquivado. O DRA arquiva os registros ao longo do tempo e, em seguida, apaga os dados mais antigos para liberar espaço para dados mais recentes por meio de um processo chamado grooming.
O DRA usa os eventos de auditoria armazenados nos arquivos de registros para exibir os relatórios de detalhes da atividade, como mostrar quais mudanças foram feitas em um objeto durante um período especificado. Você também pode configurar o DRA para exportar informações desses arquivos de registro para um banco de dados do SQL Server que o NetIQ Reporting Center usa para exibir relatórios de gerenciamento.
O DRA sempre grava eventos de auditoria no arquivo de registros. Você também pode habilitar ou desabilitar a gravação de eventos do DRA nos registros de eventos do Windows.
Quando você instala o DRA, os eventos de auditoria não são registrados no registro de eventos do Windows por padrão. Você pode habilitar esse tipo de registro modificando uma chave do Registro.
AVISO:Tenha cuidado ao editar seu Registro do Windows. Se houver um erro no seu Registro, seu computador poderá deixar de funcionar. Se ocorrer um erro, você poderá restaurar o Registro para o estado em que ele se encontrava quando você inicializou seu computador com êxito pela última vez. Para mais informações, consulte a Ajuda do Editor do Registro do Windows.
Para habilitar a auditoria de evento:
Clique em Iniciar > Executar.
Digite regedit no campo Abrir e clique em OK.
Expanda a seguinte chave de Registro: HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Modules\ServerConfiguration\.
Clique em Editar > Novo > Valor DWORD.
Digite IsNTAuditEnabled como o nome da chave.
Clique em Editar > Modificar.
Digite 1 no campo Dados do valor e clique em OK.
Feche o editor de registro.
Para desabilitar auditoria de eventos:
Clique em Iniciar > Executar.
Digite regedit no campo Abrir e clique em OK.
Expanda a seguinte chave de Registro: HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Modules\ServerConfiguration\.
Selecione a chave IsNTAuditEnabled.
Clique em Editar > Modificar.
Digite 0 no campo Dados do valor e clique em OK.
Feche o editor de registro.
Para verificar se todas as ações do usuário são auditadas, o DRA fornece métodos de registro alternativos quando o produto não pode verificar a atividade de registro. Quando você instala o DRA, a chave e o caminho AuditFailsFilePath são adicionados ao seu registro para garantir as seguintes ações:
Se o DRA detectar que os eventos de auditoria não estão mais sendo registrados em um arquivo de registros, o DRA registrará os eventos de auditoria em um arquivo local no servidor de Administração.
Se o DRA não puder gravar eventos de auditoria em um arquivo local, o DRA gravará eventos de auditoria no registro de eventos do Windows.
Se o DRA não puder gravar eventos de auditoria no registro de eventos do Windows, o produto gravará eventos de auditoria no registro do DRA.
Se o DRA detectar que os eventos de auditoria não estão sendo registrados, ele bloqueará outras operações do usuário.
Para habilitar operações de gravação quando o arquivo de registro não está disponível, você também deve definir um valor de chave do Registro para a chave AllowOperationsOnAuditFailure.
AVISO:Tenha cuidado ao editar seu Registro do Windows. Se houver um erro no seu Registro, seu computador poderá deixar de funcionar. Se ocorrer um erro, você poderá restaurar o Registro para o estado em que ele se encontrava quando você inicializou seu computador com êxito pela última vez. Para mais informações, consulte a Ajuda do Editor do Registro do Windows.
Para habilitar operações de gravação:
Clique em Iniciar > Executar.
Digite regedit no campo Abrir e clique em OK.
Expanda a seguinte chave de registro: HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Audit\.
Clique em Editar > Novo > Valor DWORD.
Digite AllowOperationsOnAuditFailure como o nome da chave.
Clique em Editar > Modificar.
Digite 736458265 no campo Dados do valor.
Selecione Decimal no campo Base e clique em OK.
Feche o editor de registro.
O DRA registra os dados de atividade do usuário nos arquivos de registro no servidor de Administração. O DRA cria as partições de arquivo de registro diárias para armazenar dados coletados e normalizados naquele dia. O DRA usa a data na hora local no servidor de administração (AAAAMMDD) como a convenção de nomenclatura para partições do arquivo de registro diárias.
Se você tiver habilitado o Coletor de Relatórios de Gerenciamento, o DRA exportará os dados de arquivo de registro para um banco de dados do SQL Server como a origem dos relatórios de Gerenciamento do DRA.
Inicialmente, o DRA retém os dados de registro no arquivo de registro indefinidamente por padrão. O tamanho do arquivo de registro pode atingir um tamanho máximo determinado no momento da instalação com base no espaço disponível no disco rígido. Quando o arquivo de registro excede esse tamanho máximo, nenhum novo evento de auditoria é armazenado. Você pode definir um limite de tempo para a retenção de dados, e o DRA remove os dados mais antigos para liberar espaço para dados mais recentes por meio de um processo chamado grooming. Verifique se você tem uma estratégia de backup em vigor antes de habilitar o grooming. Você pode configurar o período de retenção do arquivo de registro usando o utilitário Configuração do Arquivo de Registro. Para obter mais informações, veja Modificando as configurações de preparação do arquivo de registro.
Você usa o utilitário Log Archive Viewer para exibir dados armazenados em arquivos de registro. O Kit de Recursos de Arquivo de Registro do NetIQ DRA (LARK), que você pode optar por instalar com o DRA, fornece o utilitário Log Archive Viewer. Para mais informações, consulte a Referência Técnica do Kit de Recursos do Arquivo de Registro do NetIQ DRA.
Um arquivo de registro é uma coleção de blocos de registros. Como arquivos de registro são arquivos binários compactados que estão localizados fora de um banco de dados físico, você não precisa usar o Microsoft SQL Server Management Studio para fazer backup de arquivos de registro. Se você tiver um sistema de backup de arquivos automatizado, seus arquivos de registros serão copiados automaticamente como qualquer outro arquivo.
Tenha em mente as seguintes melhores práticas ao planejar sua estratégia de backup:
Uma única partição é criada a cada dia que contém dados do evento para esse dia. Quando você habilita o grooming, o Serviço de Arquivo de Registro prepara os dados dessas partições automaticamente a cada 90 dias, por padrão. A estratégia de backup deve levar em conta a programação de preparação para determinar a frequência dos backups. Quando as partições de arquivo de registro são preparadas, o DRA apaga os arquivos binários. Não é possível recuperar dados de grooming. Você deve restaurar os dados de grooming de um backup. Para obter mais informações, veja Modificando as configurações de preparação do arquivo de registro.
Você só deve fazer o backup das partições após terem sido fechadas. Em condições normais, uma partição é fechada dentro de 2 horas da meia-noite do próximo dia.
Efetue backup e restaure as pastas de partição e todas as suas subpastas como uma unidade. Efetue backup do arquivo VolumeInfo.xml como parte do backup de partição.
Se você deseja restaurar partições de arquivo de registro para relatórios, verifique se os arquivos de registro de backup mantêm ou podem ser restaurados para o formato original.
Ao configurar seu processo para efetuar backup de arquivos de registro, NetIQ recomenda apagar ambas as subpastas index_data e CubeExport localizadas na pasta de arquivo de registro principal. Essas subpastas contêm dados temporários e não devem ter backup.
Quando você instala o DRA, a limpeza do arquivo de registro fica desabilitada por padrão. Quando você estabelece procedimentos de backup regulares para seus arquivos de registro, você deve habilitar o grooming do arquivo de registro para economizar espaço em disco. Você modifica o número de dias antes que as partições do arquivo de registro sejam preparadas usando o utilitário Configuração de Arquivo de Registro.
Para mudar o número de dias antes de as partições de arquivo de registro serem preparadas:
Efetue logon no servidor de administração usando uma conta que seja membro do grupo Administradores locais.
Inicie o Configuração de Arquivo de Registro (LogArchiveUtility.exe) na pasta do programa \DRA\NetIQLogArchive do NetIQ.
Clique em Log Archive Server Settings (Configurações do Servidor do Arquivo de Registro).
Se você quiser habilitar o grooming de partição, defina o valor do campo Partition Grooming Enabled (Limpeza de Partição Habilitada) como True.
Digite o número de dias que você deseja manter as partições do arquivo de registro antes do grooming no campo Number of Days before Grooming (Número de Dias Antes do Grooming).
Clique em Aplicar.
Clique em Sim.
Clique em Fechar.
Localize a pasta <caminho para LogArchiveData>\<Nome da Partição> e
|
Se o valor for |
|
|---|---|
|
Marcada |
Clique em Sim na mensagem de confirmação para reiniciar o serviço Arquivo de Registro do NetIQ Security Manager. NOTA:Se você modificar qualquer configuração do arquivo de registro, deverá reiniciar o serviço Arquivo de Registro para que a mudança entre em vigor. |
|
Não verificado |
Se o atributo “Arquivo está pronto para arquivamento” nos arquivos ou nas pastas dentro das partições especificadas não estiver marcado, você deverá editar o arquivo CONFIG para habilitar a limpeza do arquivo de registro. Para entender por que esse atributo pode ou não ser verificado, consulte a seção Informações Adicionais de Como você configura o período de retenção de dados para os dados do DRA Logarchival? artigo da base de conhecimento.
Para permitir que o Servidor do Arquivo de Registro do DRA prepare dados não arquivados:
Efetue logon localmente em cada console do Windows do servidor DRA como membro do grupo de administradores locais.
Use o editor de texto para abrir o arquivo C:\ProgramData\NetIQ\Directory Resource Administrator\LogArchiveConfiguration.config e localize a linha <Property name="GroomUnarchivedData" value="false" />.
Mude "false" para "true" e grave o arquivo.
Reinicie o Serviço Arquivo de Registro NetIQ DRA.
NOTA:Se você modificar qualquer configuração do arquivo de registro, deverá reiniciar o serviço Arquivo de Registro para que a mudança entre em vigor.