Журнал
Назначение
Журнал показывает, кто, когда и с какого адреса выполнил действие в StopPhish: вошёл в систему, создал или удалил группу, пользователя, кампанию, профиль SMTP, запустил синхронизацию с LDAP. По журналу администратор безопасности восстанавливает историю изменений и проверяет действия других администраторов.
Где находится и кому доступно
Меню Журнал (страница «Журнальные записи»). Доступно только роли «Гл. Администратор»: у остальных ролей пункта в меню нет, и таблица журнала для них остаётся пустой.
Перед началом
Настраивать ничего не нужно: записи появляются автоматически. События модулей («Кампании», «Курсы», «Почтовый сервис», «LDAP», «Хостинг») попадают в журнал, когда соответствующий модуль установлен.
Настройка
Просмотр журнала
- Откройте Журнал. Записи идут от новых к старым, по 50 на странице; под таблицей — переключатель страниц.
Обозначение полей:
| № | Поле | Что означает | Допустимые значения / по умолчанию |
|---|---|---|---|
| 1 | Тип | Важность записи | «Запись», «Предупреждение», «Ошибка». Отбор — значок воронки |
| 2 | Модуль | Часть системы, в которой произошло событие | «Ядро», «Кампании», «Курсы», «Почтовый сервис», «LDAP», «Хостинг». Отбор — значок воронки |
| 3 | Событие | Что произошло: «Вход в систему», «Создание группы», «Удаление SMTP» и т. п. | Отбор — значок воронки |
| 4 | Сообщение | Пояснение к записи | Заполняется для ошибок синхронизации с LDAP: текст причины; у остальных записей пусто |
| 5 | Субъект | Объект действия: название группы или профиля SMTP, адрес пользователя | Поиск — значок лупы: по части текста, без учёта регистра |
| 6 | Инициатор | Кто выполнил действие | Адрес администратора; для синхронизации с LDAP — «Ручной запуск» или «Запуск по расписанию» |
| 7 | IP адрес | Адрес, с которого выполнено действие | На рисунке скрыт |
| 8 | Дата и время | Когда произошло событие | По умолчанию сначала новые |
| 9 | Значок глаза | Открывает окно «Детали записи» | Есть только у записей с дополнительными данными |
Стрелки рядом с заголовками столбцов меняют сортировку: первый щелчок — по возрастанию, второй — по убыванию, третий снимает сортировку.
Отбор записей
- Чтобы оставить только нужные записи, нажмите значок воронки в столбце «Тип», «Модуль» или «Событие» и отметьте одно или несколько значений. Таблица обновляется сразу, активный отбор подсвечивается цветом воронки. Чтобы снять отбор, снимите отметки.
- Чтобы найти записи об определённом объекте, нажмите значок лупы в столбце «Субъект» и введите часть названия или адреса, например «отдел» или фамилию из адреса сотрудника. Отборы и поиск можно сочетать.
Детали записи
- Нажмите значок глаза в строке записи. Откроется окно «Детали записи» с данными, которые система сохранила вместе с событием, например способ входа и адрес при входе в систему.
Для записей о синхронизации с LDAP и о назначении групп окно показывает сводку: «Пользователей добавлено», «Пользователей удалено», «Входов в группы», «Выходов из групп», «Связей нет в источнике», — и таблицу изменений с поиском по email, ФИО и группе и кнопкой «Выгрузить CSV». Исходные данные такой записи открываются по ссылке «Исходные данные записи».
Очистка журнала
- Кнопка «Очистить записи старше недели» в правом верхнем углу страницы удаляет записи, созданные более 7 дней назад, вместе с подробностями синхронизаций за тот же период. Браузер спрашивает «Удалить все журнальные записи?»; после подтверждения записи за последние 7 дней остаются, более старые удаляются безвозвратно.
Проверка результата
Выполните любое действие, например измените группу, и откройте Журнал: вверху таблицы появится запись «Обновление группы» с названием группы в столбце «Субъект» и вашим адресом в столбце «Инициатор».
Ограничения и частые ошибки
- Журнал фиксирует входы администраторов. Входы сотрудников, неудачные попытки входа, выходы из системы и отказы в доступе в журнал не попадают, поэтому отбор по событиям «Неудачная попытка входа», «Выход из системы», «Отказ в доступе» записей не находит.
- Каждое открытие журнала, смена страницы, отбора или сортировки добавляет запись «Просмотр журнала» с субъектом «audit». Чтобы скрыть такие записи, отберите нужные события в столбце «Событие».
- Некоторые события и модули показываются служебным названием на английском языке: для них в интерфейсе нет русского названия.
- Сама очистка журнала в журнале не отражается.
- Если снять сортировку третьим щелчком, записи выстраиваются от старых к новым. Чтобы снова видеть новые записи сверху, обновите страницу.
- На узком экране таблица шире окна, и столбец «Дата и время» уходит за правый край: прокрутите таблицу вправо.
Логирование
Напрямую онлайн
Подключитесь к своему серверу по SSH.
Введите следующую команду:
kubectl logs -n stopphish deployment/api
Через веб-интерфейс
Логи можно посмотреть в разделе меню "Журнал".
Syslog
/var/log/syslog
/var/log/pods/