ownCloud Enterprise-Auditing einrichten und Protokolle überprüfen

Um Benutzer- und Administratoraktionen in ownCloud Enterprise zu protokollieren, installieren und aktivieren Sie die Enterprise-exklusive Auditing-App und leiten Sie deren admin_auditProtokollmeldungen in eine Datei um, die Administratoren schützen und überprüfen können. Die Aktivierung der App ist zwar notwendig, aber allein nicht ausreichend: Der Server-Protokollierungsgrad von ownCloud muss auf 1 (Info) oder 0 (Debug) eingestellt sein, es sei denn, eine separate Protokollierungsbedingung leitet Audit-Meldungen in eine eigene Datei um.

Wissen Sie, welches „Aktivitätsprotokoll“ Sie benötigen?

Die Apps „Aktivität“ und „Überwachung“ dienen unterschiedlichen Zwecken. „Aktivität“ ist der für Benutzer sichtbare Stream von Datei- und Kollaborationsereignissen. Die Enterprise-Überwachungs-App protokolliert ausgewählte Benutzer- und Administratoraktionen als strukturierte Protokolleinträge für die betriebliche Überprüfung und Analyse. Die Installation oder Konfiguration von „Aktivität“ allein aktiviert nicht den Enterprise-Überwachungspfad. Wenn Sie eine nachvollziehbare Aufzeichnung von Anmeldungen, Dateivorgängen, Freigabeänderungen, Benutzerverwaltung, App-Änderungen oder OCC-Befehlen benötigen, aktivieren Sie die Überwachung. Die aktuelle Dokumentation zur Überwachung von ownCloud Server 11 listet diese Ereigniskategorien auf.

Bestätigt: Die App ist nur für Enterprise-Nutzer verfügbar und kann über den ownCloud Marketplace bezogen werden. Kontextabhängig: Die genaue Ansicht der App-Verwaltung und die Konfigurationsmethode variieren je nach ownCloud-Version und Bereitstellung. Empfehlung: Prüfen Sie Ihre Serverversion und ob Ihr Enterprise-Abonnement die App beinhaltet, bevor Sie die fehlende App-Liste beheben. Die ownCloud- Audit-Funktionsseite weist die App ebenfalls als Enterprise-Funktion aus.

Aktivieren Sie die Überwachung in ownCloud

1. Vergewissern Sie sich, dass die App installiert ist. Suchen Sie in den ownCloud-App-Einstellungen nach „Auditing“. Laut der offiziellen Anleitung für ownCloud 10.16 laden Sie die App aus dem Marketplace herunter und aktivieren sie in den App-Einstellungen; die Dokumentation für ownCloud 11 beschreibt die Aktivierung direkt dort. Falls die App fehlt, überprüfen Sie vor der Installation eines Pakets die Enterprise-Berechtigung, den Marketplace-Zugriff und die App-Kompatibilität für Ihre Serverversion.
2. Aktivieren Sie die App. Überprüfen Sie die App-Einstellungen als Administrator und stellen Sie sicher, dass die Überwachung aktiviert ist. Je nach Bereitstellung und Version kann ein Administrator über die Befehlszeile den App-Status auch mit dem Befehl `app-status` überprüfen occ app:list; verwenden Sie dazu den von Ihrer Installation unterstützten occAufruf. Gehen Sie nicht davon aus, dass ein Aktivitätsfeed in der Weboberfläche bedeutet, dass die Überwachungs-App aktiv ist.
3. Wählen Sie aus, wo die Prüfprotokolle gespeichert werden sollen. Zur schnellen Überprüfung kann ownCloud Prüfprotokolle in das Standardprotokoll schreiben owncloud.log. Für den laufenden Betrieb ist eine separate, eingeschränkte Prüfprotokolldatei einfacher zu erstellen und an einen Protokollsammler weiterzuleiten, um sie unabhängig zu überprüfen.
4. Legen Sie eine effektive Protokollierungsstufe oder einen dedizierten Pfad fest. Belassen Sie die allgemeine Protokollierungsstufe bei 1 oder 0, wenn Sie Audit-Ereignisse im Standardprotokoll wünschen. Alternativ können Sie eine Bedingung für die App-ID hinzufügen admin_audit, die in eine separate Datei schreibt. Die Syntax hängt davon ab, ob Sie ownCloud 11 in Docker oder eine PHP-Installation unter Version 10.16 verwenden.
5. Generieren Sie ein harmloses Testereignis und überprüfen Sie es. Melden Sie sich an oder erstellen Sie eine temporäre Testdatei und prüfen Sie anschließend das ausgewählte Protokollziel auf einen neuen Audit-Eintrag, bevor Sie sich auf die Konfiguration verlassen.

Leiten Sie die Prüfprotokolle in eine separate Datei um.

ownCloud Server 11 in Docker

Die aktuelle ownCloud 11-Anleitung beschreibt die OWNCLOUD_LOG_CONDITIONSUmgebungsvariable. Fügen Sie sie der Compose-Umgebung des ownCloud-Dienstes hinzu und passen Sie den Dateipfad an einen im Container verfügbaren, permanenten Speicherort an:

OWNCLOUD_LOG_CONDITIONS=[{"apps":["admin_audit"],"loglevel":0,"logfile":"/mnt/data/files/admin_audit.log"}]

Das Beispiel verwendet den von ownCloud dokumentierten Docker-Datenpfad. Achten Sie darauf, dass der JSON-Wert beim Hinzufügen zu YAML gültig ist, und verwenden Sie das persistent eingebundene Volume der Bereitstellung, damit beim Ersetzen eines Containers das Protokoll nicht verworfen wird. Wenden Sie die Compose-Änderung wie gewohnt in Ihrem Bereitstellungsprozess an und überprüfen Sie anschließend, ob der Dienst startet und die Datei erstellt wurde. Gemäß dem Server 11-Überwachungsleitfaden protokolliert die separate Bedingung Audit-Meldungen unabhängig vom globalen Protokollierungsgrad .

ownCloud Server 10.16 PHP-Installation

Für die von ownCloud dokumentierte PHP-basierte Konfiguration unter Version 10.16 fügen Sie einen log.conditionsEintrag in die aktive config.phpDatei ein und ersetzen Sie den Beispielpfad. Der Webserver-Benutzer muss Schreibrechte für die Zieldatei und deren Verzeichnis besitzen.

'log.conditions' => [
    [
        'apps' => ['admin_audit'],
        'logfile' => '/var/www/owncloud/data/admin_audit.log'
    ]
],

Erstellen Sie config.phpvor der Bearbeitung eine Sicherungskopie und erstellen Sie keinen doppelten log.conditionsSchlüssel, falls bereits einer existiert. Überprüfen Sie nach der Änderung die PHP-Syntax und die Dateiberechtigungen. Kopieren Sie das PHP-Array von Version 10.16 nicht in eine Docker-Umgebungsvariable und den JSON-Umgebungswert von Server 11 nicht in eine PHP-Konfigurationsdatei; es handelt sich um unterschiedliche Bereitstellungsschnittstellen. Beachten Sie die offiziellen Anweisungen zur Überwachung von ownCloud 10.16 .

Was der Prüfpfad beweist – und was nicht

Verifiziert: Dokumentierte Ereignisse umfassen An- und Abmeldung, Dateierstellung, -löschung und -verschiebung, Freigabeänderungen, Tags, Kommentare, Benutzer- und Gruppenverwaltung, Benutzereinstellungen, Identitätswechsel, App-Aktivierung und OCC-Ausführung. Einträge enthalten ereignisspezifische Felder und sind für die Analyse strukturiert; ownCloud beschreibt JSON-kompatible Datensätze und Integrationen wie Splunk. Aktion: Erstellen Sie ein Testereignis aus einer Kategorie, die Ihr Team prüfen muss, und bestätigen Sie, dass der erwartete Benutzer, die Aktion, der Zeitpunkt und der Dateikontext angezeigt werden.

Missverständnis: Die Aktivierung der Überwachung erstellt fälschlicherweise automatisch eine separate admin_audit.logDatei. Standardmäßig wird das ownCloud-Standardprotokoll verwendet, sofern Sie kein separates Ziel konfigurieren. Handlungsempfehlung: Überprüfen Sie den tatsächlichen Dateipfad und das Volume, anstatt sich auf den Aktivierungsstatus der App zu verlassen.

Einschränkung: Ein Ereignisprotokoll allein stellt kein vollständiges Compliance-Programm dar und garantiert nicht, dass jede Aktion in einer kundenspezifischen Bereitstellung protokolliert wird. Die verfügbaren Ereignisse, die App-Version, Filter, der Protokollierungsgrad und die Aufbewahrungsrichtlinien beeinflussen, was Sie überprüfen können. Empfehlung: Vergleichen Sie die Ereignisabdeckung mit Ihren Richtlinien, legen Sie Aufbewahrungs- und Zugriffsrichtlinien fest und leiten Sie wichtige Datensätze an ein entsprechend gesichertes zentrales Protokollierungssystem weiter, falls Ihre Anforderungen eine unabhängige Aufbewahrung erfordern. Diese letzte Empfehlung dient der betrieblichen Absicherung; die ownCloud-App-Dokumentation beschreibt die Ereignisprotokollierung und -integration, stellt aber keine Zertifizierung dar, dass eine bestimmte Konfiguration einer rechtlichen Anforderung entspricht.

Zugriff und laufende Datenerfassung prüfen.

Nachdem das Testereignis aufgetreten ist, überprüfen Sie, ob die Audit-Datei einen Neustart des Dienstes oder den Austausch des Containers übersteht, ob sie nur von autorisierten Administratoren und Protokollsammlern gelesen werden kann und ob die Protokollrotation die Schreibfähigkeit der Anwendung nicht beeinträchtigt. Bei Verwendung des Standardprotokolls bietet die ownCloud-Adminseite die Option „Protokolldatei herunterladen“. Wenn eine separate Datei konfiguriert ist, muss diese laut Dokumentation manuell abgerufen werden. Notieren Sie sich Zeitstempel, Akteur, Aktion und Pfad des Ereignisses als Prüfkriterium und überprüfen Sie die Protokolle nach Aktualisierungen oder Änderungen an der Protokollierungskonfiguration erneut.