NetApp 服务器审计概述

NetApp filer 网络附加存储（NAS）设备使用 NetApp 自有的 ONTAP 操作系统。VServer 单元是存储系统内的一个分区，在网络用户看来如同一个独立的存储系统。每个 VServer 关联其自己的网络资源并独立运行。

本页内容：

• 支持版本
• 前提条件
• 在 Log360 Cloud 中配置
• 审计策略配置
• 手动 SACL 配置
• 故障排除

支持版本

Log360 Cloud 审计 NetApp ONTAP 版本 8.2.1 及以上。

审计事件

Log360 Cloud 审计以下文件操作的成功和失败尝试：

• 创建
• 读取
• 写入
• 删除
• 更改文件权限
• 重命名
• 移动

NetApp 服务器审计先决条件

要有效配置 Log360 Cloud 中的 NetApp 服务器审计，域中用户账户必须是管理员或具有以下最低权限：

• 读写权限 用于自动设置要审计的共享的 SACL。
• 读取权限 用于 NetApp 审计日志共享路径。
• 访问 用于管理 IP（此用户可以是 vsadmin 或具有以下列出的任何角色的用户）。

日志存储要求

审计日志可存储在以下位置之一：

1. 新建聚合：Log360 Cloud 创建一个名为 cifs_audit_log 的卷，挂载在 /cifs_audit_log，需要 3GB 可用空间。
2. 现有交汇点/本地路径：至少 3GB 可用空间，如 /logs/fs1/。

在 Log360 Cloud 中配置 NetApp 服务器审计

按以下步骤配置 NetApp 服务器审计：

1. 转到 设置 > 配置 > 文件完整性监控 > NetApp 服务器.

2. 如果服务器配置到域，则从发现设备列表中选择 NetApp 服务器。否则，您可以选择 手动配置 选项并输入服务器名称。
注意：确保使用服务器名称而非 IP 地址。更新主机文件，将服务器名称映射到 NetApp 管理 IP，以保证正确配置。



3. 提供正确的凭据并选择合适的代理。



4. 验证所提供的凭据以启动位置浏览。在浏览 NetApp 服务器位置之前，确保凭据验证正确，以保证连接安全和文件活动监控准确。



5. 浏览目录并选择要监控的具体文件和文件夹。您也可以手动输入文件/文件夹路径。



6. 使用排除过滤器忽略特定项：
   • 某些文件类型。
   • 主目录下的子位置。
   • 主目录下的所有子位置。



7. 如果您希望 Log360 Cloud 自动配置对象级审计，请勾选 在所选共享上设置必要的对象级审计.



8. 根据您要提供的新聚合名称或具有 3GB 空间的现有路径，选择“创建”或“存在”。如果选择“创建新路径”，将会创建一个名为 cifs_audit_log 的新卷，并挂载到 /cifs_audit_log 路径。



9. 或选择现有路径，使用至少有 3GB 空间的可用路径。
注意：现有路径选项时，请提供交汇点路径，而非共享路径（例如 /root/logs/cifs）。



10. 点击“配置”按钮启动配置。

自动审计策略配置

若要使 Log360 Cloud 自动配置审计设置，请在添加 NetApp 服务器时勾选 自动启用 NetApp 审计选项 复选框。

这将配置一个默认审计策略，参数如下：

• 轮换基于：大小
• 最大日志文件数: 10
• 日志文件大小：200 MB
• 日志路径：使用 创建新路径 新卷，或 现有路径 具有 3GB 空间的现有路径。

手动审计策略配置

要手动配置审计策略，请使用具有必要集群管理员凭据的 SSH 连接，使用以下命令为 CIFS 服务器配置审计设置：

Vserver audit create -<Vserver_Name> -destination <Log_Destination_Path> -format <Log_Format_in_XML/evtx> -rotate-size <Log_File_Size_Limit_in_KB/MB/GB/TB/PB> -rotate-limit <Log_Files_Rotation_Limit></Log_Files_Rotation_Limit>

参数

• <Vserver_Name>：要创建审计配置的 VServer 名称。
• <Log_Destination_Path>：存储审计日志的路径，路径长度最多 864 字符，且必须具有读写权限。
• <Log_Format>：审计日志的输出格式，可以是 ONTAP 专用的 XML 或 Windows EVTX。
• <Log_File_Size_Limit>：审计日志文件大小限制及相应单位（例如 200MB）。
• <Log_Files_Rotation_Limit>：保留的审计日志文件数量，值为 ‘0’ 表示保留所有日志文件，值为 ‘5’ 表示仅保留最近五个。

示例：Vserver audit create -Vserver vs1 -destination /cifs_audit_log -format evtx -rotate-size 200MB -rotate-limit 10

NetApp 服务器审计的手动 SACL 配置

要在 NetApp 共享中手动配置对象级审计：

1. 右键点击目标共享，选择 属性.
2. 转到 安全 选项卡，然后点击 高级.
3. 在 审计 选项卡中，为 Everyone 组添加以下条目：

审计	委托人	事件类型	访问	应用于
文件和文件夹更改	Everyone	成功和失败	创建文件/写入数据 创建文件夹/追加数据 写入属性 写入扩展属性 删除子文件夹和文件 删除	此文件夹、子文件夹和文件
文件夹权限和所有者更改	Everyone	成功和失败	获取所有权 更改权限	此文件夹和子文件夹
文件读取	Everyone	成功和失败	列出文件夹/读取数据	仅限文件
文件夹读取失败	Everyone	失败	列出文件夹/读取数据	此文件夹和子文件夹

4. 点击确定完成所选共享的所需SACL设置。

故障排除

凭据验证

错误：由于服务器名或端口错误，连接到 <server name> 失败。

解决方案：确保服务器名称解析为服务器的IP地址。您可以通过使用服务器名称ping NetApp服务器来验证是否解析到正确的IP地址。如果没有，请在高级TCP/IP设置中更新DNS后缀，或在DNS服务器中添加一条主机记录，将名称映射到NetApp服务器的IP地址。如果仍然无法ping通服务器，请检查互联网连接。

浏览位置

错误：连接失败（错误代码：5 - 拒绝访问）。

解决方案：验证凭据是否对指定位置具有适当的读取权限。

日志未被监控

错误：成功配置后日志未被监控。

原因：

• 聚合存储不足3GB。
• 无效的聚合。
• 指定的日志路径或聚合不存在。
• 用户无权在NetApp服务器上创建审计。

刷新NetApp失败

错误：无法刷新NetApp服务器 <server name>：未找到审计。尝试刷新前请先创建审计。

原因：尚未在NetApp中创建审计配置。

解决方案：通过手动或Log360 Cloud创建审计配置。

最终合并错误

错误：正在进行最终合并，请稍后再试。

原因：NetApp正在执行其他操作，当前无法执行其他操作。

解决方案：请等待当前操作完成后再试。