Настройте систему корпоративного аудита ownCloud и проверьте журналы.

Для записи действий пользователей и администраторов в ownCloud Enterprise установите и включите приложение «Аудит» (только для корпоративных пользователей), а затем перенаправляйте его admin_auditсообщения журнала в файл, который администраторы смогут защитить и просмотреть. Включение приложения необходимо, но само по себе этого недостаточно: уровень ведения журнала сервера ownCloud должен быть установлен на 1 (Информация) или 0 (Отладка), если только отдельное условие ведения журнала не направляет сообщения аудита в отдельный файл.

Определите, какой именно «журнал активности» вам нужен.

Приложение «Активность» и приложение «Аудит» выполняют разные функции. «Активность» — это отображаемый пользователю поток событий, связанных с файлами и совместной работой. Приложение «Корпоративный аудит» записывает выбранные действия пользователей и администраторов в виде структурированных записей журнала, предназначенных для оперативного анализа и проверки. Установка или настройка только приложения «Активность» не включает корпоративный журнал аудита. Если ваша цель — отслеживаемая запись входов в систему, операций с файлами, изменений общего доступа, администрирования пользователей, изменений приложений или команд OCC, включите аудит. В текущей документации по аудиту ownCloud Server 11 перечислены эти категории событий.

Подтверждено: приложение предназначено только для корпоративных клиентов и доступно через ownCloud Marketplace. Зависит от контекста: точный экран управления приложением и метод настройки различаются в зависимости от версии и способа развертывания ownCloud. Действие: перед устранением неполадок, связанных с отсутствием приложения в списке, убедитесь, что ваша корпоративная подписка включает это приложение. На странице функции аудита ownCloud оно также обозначено как корпоративная функция.

Включите аудит в ownCloud

1. Убедитесь, что приложение установлено. В настройках приложения ownCloud найдите раздел «Аудит». В официальном руководстве ownCloud 10.16 указано, что его нужно загрузить из Marketplace и включить в настройках приложения; в документации ownCloud 11 указано, что приложение нужно включить там же. Если оно отсутствует, перед установкой пакета проверьте права доступа Enterprise, доступ к Marketplace и совместимость приложения с вашей версией сервера.
2. Включите приложение. Используйте настройки приложения от имени администратора и убедитесь, что аудит включен. В зависимости от развертывания и версии, администратор командной строки также может проверить состояние приложения с помощью команды `cd` occ app:list; используйте поддерживаемый системой occвызов `cd`. Не следует предполагать, что лента активности в веб-интерфейсе означает, что приложение аудита активно.
3. Выберите, куда будут записываться записи аудита. Для быстрой проверки ownCloud может записывать записи аудита в стандартный файл owncloud.log. Для текущих операций проще использовать отдельный файл аудита с ограниченным доступом, который можно направить сборщику журналов и просмотреть независимо.
4. Установите эффективный уровень логирования или выделенный маршрут. Если вы хотите, чтобы события аудита отображались в стандартном журнале, оставьте общий уровень логирования равным 1 или 0. В качестве альтернативы добавьте условие для идентификатора приложения admin_audit, которое будет записывать данные в выделенный файл. Синтаксис зависит от того, используете ли вы ownCloud 11 в Docker или установку PHP версии 10.16.
5. Создайте безобидное тестовое событие и проверьте его. Войдите в систему или создайте временный тестовый файл, затем проверьте выбранное место назначения журнала на наличие новой записи аудита, прежде чем полагаться на конфигурацию.

Перенаправляйте результаты аудита в отдельный файл.

ownCloud Server 11 в Docker

В текущем руководстве по ownCloud 11 описана OWNCLOUD_LOG_CONDITIONSпеременная среды. Добавьте её в среду Compose сервиса ownCloud и скорректируйте путь к файлу, указав постоянное местоположение, доступное в контейнере:

OWNCLOUD_LOG_CONDITIONS=[{"apps":["admin_audit"],"loglevel":0,"logfile":"/mnt/data/files/admin_audit.log"}]

В примере используется путь монтирования данных Docker, описанный ownCloud. Сохраняйте корректность значения JSON при добавлении его в YAML и используйте постоянно смонтированный том развертывания, чтобы замена контейнера не привела к удалению журнала. Примените изменение Compose, используя обычный процесс развертывания, затем подтвердите запуск службы и создание файла. Согласно руководству по аудиту Server 11 , отдельное условие регистрирует сообщения аудита независимо от глобального уровня логирования.

Установка PHP на ownCloud Server 10.16

Для конфигурации на основе PHP версии 10.16, описанной ownCloud, добавьте log.conditionsзапись в активный config.phpфайл и замените указанный пример пути. Пользователь веб-сервера должен иметь возможность записывать данные в целевой файл и его каталог:

'log.conditions' => [
    [
        'apps' => ['admin_audit'],
        'logfile' => '/var/www/owncloud/data/admin_audit.log'
    ]
],

Перед редактированием сделайте резервную копию config.phpи не создавайте дубликат log.conditionsключа, если он уже существует. После внесения изменений проверьте синтаксис PHP и права доступа к файлам. Не копируйте массив PHP 10.16 в переменную среды Docker или значение среды JSON Server 11 в файл конфигурации PHP; это разные интерфейсы развертывания. См. официальные инструкции по аудиту ownCloud 10.16 .

Что доказывает — и чего не доказывает — журнал аудита

Проверено: задокументированные события включают вход и выход из системы, создание/удаление/перемещение файлов, изменения доступа, теги, комментарии, администрирование пользователей и групп, настройки пользователей, имитацию пользователя, включение приложений и выполнение OCC. Записи содержат поля, специфичные для события, и структурированы для анализа; ownCloud описывает записи, совместимые с JSON, и интеграции, такие как Splunk. Действие: создайте тестовое событие из категории, которую ваша команда должна проверить и подтвердить наличие ожидаемого пользователя, действия, времени и контекста файла.

Недоразумение: включение аудита автоматически создает отдельный admin_audit.logфайл. На самом деле это не так; по умолчанию может использоваться стандартный журнал ownCloud, если вы не укажете отдельное место назначения. Действие: проверьте фактический путь к файлу и том, а не полагайтесь на статус включения аудита в приложении.

Ограничение: сам по себе журнал событий не является полной программой соответствия требованиям или гарантией того, что каждое действие в настроенной конфигурации записывается. Доступные события, версия приложения, фильтры, уровень логирования и параметры хранения влияют на то, что вы можете просмотреть. Действие: сравните охват событий с вашей политикой, определите параметры хранения и контроля доступа и пересылайте важные записи в соответствующую защищенную центральную систему логирования, если ваши требования предусматривают независимое сохранение. Эта последняя рекомендация по контролю является оперативной мерой предосторожности; документация приложения ownCloud описывает логирование событий и интеграцию, а не является подтверждением того, что конкретная конфигурация соответствует юридическим требованиям.

Проверка доступа и текущего сбора данных.

После появления тестового события убедитесь, что файл аудита сохраняется после перезапуска службы или замены контейнера, что его могут читать только авторизованные администраторы и сборщики журналов, и что ротация журналов не нарушает возможность записи приложения. При использовании стандартного журнала на странице администратора ownCloud есть опция «Загрузить файл журнала». Если настроен отдельный файл, в документации указано, что этот файл следует получить вручную. Сохраните метку времени события, имя исполнителя, действие и путь в качестве проверки корректности и повторно просмотрите журналы после обновлений или изменений в конфигурации ведения журналов.