Stel ownCloud Enterprise Auditing in en controleer de logboeken.

Om gebruikers- en beheerdersacties in ownCloud Enterprise vast te leggen, installeer en activeer je de Enterprise-only Auditing-app en stuur je de admin_auditlogberichten door naar een bestand dat beheerders kunnen beveiligen en bekijken. Het inschakelen van de app is noodzakelijk, maar op zichzelf niet voldoende: het logniveau van de ownCloud-server moet zijn ingesteld op 1 (Info) of 0 (Debug), tenzij een aparte logvoorwaarde ervoor zorgt dat auditberichten naar een eigen bestand worden doorgestuurd.

Weet welk 'activiteitenlogboek' je nodig hebt.

De Activiteiten-app en de Audit-app dienen verschillende doeleinden. Activiteiten is de voor de gebruiker zichtbare weergave van gebeurtenissen met betrekking tot bestanden en samenwerking. De Enterprise Auditing-app registreert geselecteerde gebruikers- en beheerdersacties als gestructureerde logboekvermeldingen, bedoeld voor operationele controle en analyse. Het installeren of configureren van Activiteiten alleen activeert het Enterprise-auditspoor niet. Als u een traceerbaar overzicht wilt van aanmeldingen, bestandsbewerkingen, wijzigingen in gedeelde mappen, gebruikersbeheer, app-wijzigingen of OCC-opdrachten, schakel dan Auditing in. De huidige documentatie van ownCloud Server 11 Auditing vermeldt deze gebeurteniscategorieën.

Geverifieerd: de app is alleen beschikbaar voor Enterprise-gebruikers en via de ownCloud Marketplace. Contextafhankelijk: het exacte scherm voor app-beheer en de configuratiemethode variëren per ownCloud-release en -implementatie. Actie: controleer uw serverversie en of uw Enterprise-abonnement de app omvat voordat u problemen met een ontbrekende app in de lijst oplost. De ownCloud Auditing-pagina geeft ook aan dat het een Enterprise-functionaliteit is.

Auditing inschakelen in ownCloud

1. Controleer of de app is geïnstalleerd. Zoek in de ownCloud-appinstellingen naar 'Auditing'. In de officiële handleiding van ownCloud 10.16 staat dat u de app moet downloaden vanuit de Marketplace en inschakelen in de app-instellingen; in de documentatie van ownCloud 11 staat dat u de app daar moet inschakelen. Als de app ontbreekt, controleer dan de Enterprise-licentie, de toegang tot de Marketplace en de app-compatibiliteit met uw serverversie voordat u een pakket installeert.
2. Schakel de app in. Gebruik de app-instellingen als beheerder en controleer of auditing is ingeschakeld. Afhankelijk van de implementatie en versie kan een beheerder via de opdrachtregel ook de app-status controleren met occ app:list; gebruik hiervoor de door de installatie ondersteunde occaanroepmethode. Ga er niet vanuit dat een activiteitenfeed in de webinterface betekent dat de audit-app actief is.
3. Kies waar de auditlogboeken worden opgeslagen. Voor een snelle verificatie kan ownCloud de auditlogboeken naar het standaardbestand schrijven owncloud.log. Voor doorlopende werkzaamheden is een apart, beperkt auditbestand gemakkelijker door te sturen naar een logverzamelaar en onafhankelijk te controleren.
4. Stel een effectief logniveau of een aparte route in. Houd het algemene logniveau op 1 of 0 als u auditgebeurtenissen in het standaardlogboek wilt opnemen. U kunt ook een voorwaarde toevoegen voor de app-ID admin_auditdie naar een apart bestand schrijft. De syntax is afhankelijk van of u ownCloud 11 in Docker gebruikt of een PHP 10.16-installatie.
5. Genereer een onschadelijke testgebeurtenis en verifieer deze. Meld u aan of maak een tijdelijk testbestand aan en controleer vervolgens de geselecteerde logbestemming op een nieuwe auditvermelding voordat u op de configuratie vertrouwt.

Sla de auditgegevens op in een apart bestand.

ownCloud Server 11 in Docker

De huidige ownCloud 11-handleiding beschrijft de OWNCLOUD_LOG_CONDITIONSomgevingsvariabele. Voeg deze toe aan de Compose-omgeving van de ownCloud-service en pas het bestandspad aan naar een permanente locatie die beschikbaar is in de container:

OWNCLOUD_LOG_CONDITIONS=[{"apps":["admin_audit"],"loglevel":0,"logfile":"/mnt/data/files/admin_audit.log"}]

Het voorbeeld gebruikt het Docker-datamountpad zoals gedocumenteerd door ownCloud. Zorg ervoor dat de JSON-waarde geldig blijft bij het toevoegen aan YAML en gebruik het persistent gemounte volume van de deployment, zodat het logbestand niet wordt verwijderd bij vervanging van de container. Voer de Compose-wijziging door met uw normale implementatieproces en controleer vervolgens of de service start en het bestand wordt aangemaakt. De aparte voorwaarde registreert auditberichten ongeacht het globale logniveau, volgens de Server 11 Auditing-handleiding .

ownCloud Server 10.16 PHP-installatie

Voor de PHP-gebaseerde configuratie van 10.16 zoals gedocumenteerd door ownCloud, voegt u een log.conditionsregel toe aan het actieve config.phpbestand en vervangt u het voorbeeldpad. De webservergebruiker moet schrijfrechten hebben voor het doelbestand en de bijbehorende map.

'log.conditions' => [
    [
        'apps' => ['admin_audit'],
        'logfile' => '/var/www/owncloud/data/admin_audit.log'
    ]
],

Maak een back-up config.phpvoordat u wijzigingen aanbrengt en maak geen dubbele log.conditionssleutel aan als er al een bestaat. Controleer de PHP-syntaxis en bestandsrechten na de wijziging. Kopieer de PHP-array van versie 10.16 niet naar een Docker-omgevingsvariabele en de JSON-omgevingswaarde van Server 11 niet naar een PHP-configuratiebestand; dit zijn verschillende implementatie-interfaces. Raadpleeg de officiële instructies voor het controleren van ownCloud 10.16 .

Wat het auditspoor wel en niet bewijst

Geverifieerd: gedocumenteerde gebeurtenissen omvatten inloggen en uitloggen, het aanmaken/verwijderen/verplaatsen van bestanden, wijzigingen in delen, tags, opmerkingen, gebruikers- en groepsbeheer, gebruikersinstellingen, impersonatie, het inschakelen van apps en OCC-uitvoering. De gegevens bevatten gebeurtenisspecifieke velden en zijn gestructureerd voor analyse; ownCloud beschrijft JSON-compatibele records en integraties zoals Splunk. Actie: maak een testgebeurtenis aan vanuit een categorie die uw team moet controleren en bevestig dat de verwachte gebruiker, actie, tijd en bestandscontext aanwezig zijn.

Misverstand: het inschakelen van auditing creëert automatisch een apart admin_audit.logbestand. Dat is niet het geval; de standaardlocatie kan het standaard ownCloud-logbestand zijn, tenzij u een aparte bestemming configureert. Actie: controleer het daadwerkelijke bestandspad en volume in plaats van af te gaan op de ingeschakelde status van de app.

Beperking: een gebeurtenislogboek is op zichzelf geen volledig complianceprogramma en garandeert niet dat elke actie in een aangepaste implementatie wordt vastgelegd. De beschikbare gebeurtenissen, app-versie, filters, logniveau en bewaarinstellingen bepalen wat u kunt inzien. Actie: vergelijk de gebeurtenisdekking met uw beleid, bepaal de bewaar- en toegangscontroles en stuur belangrijke gegevens door naar een adequaat beveiligd centraal logboeksysteem als uw vereisten onafhankelijke bewaring vereisen. Deze laatste aanbeveling is een operationele beveiliging; de app-documentatie van ownCloud beschrijft gebeurtenisregistratie en -integratie, geen certificering dat een bepaalde configuratie voldoet aan een wettelijke vereiste.

Verifieer de toegang en de lopende gegevensverzameling.

Nadat de testgebeurtenis zich voordoet, controleer dan of het auditbestand een herstart van de service of vervanging van de container overleeft, of alleen geautoriseerde beheerders en logverzamelaars het kunnen lezen en of logrotatie de schrijfmogelijkheden van de app niet verstoort. Als u het standaardlogboek gebruikt, biedt de beheerderspagina van ownCloud de optie 'Logbestand downloaden'. Als het logboek is geconfigureerd naar een apart bestand, moet u dat bestand volgens de documentatie handmatig ophalen. Bewaar de tijdstempel van de gebeurtenis, de actor, de actie en het pad als controle en bekijk de logboeken opnieuw na upgrades of wijzigingen in de logboekconfiguratie.