Übersicht

Passwork kann Ereignisse aus dem Aktionsverlauf im CEF-Format (Common Event Format) aufzeichnen, was die Konfiguration des Sendens von Ereignissen an ein SIEM (Security Information and Event Management System) ermöglicht.

info

Wir stellen keine Anleitungen oder Beispiele für die Konfiguration spezifischer Protokollierungslösungen bereit, da solche Maßnahmen direkt von der Infrastruktur eines bestimmten Unternehmens abhängen.

Aktivierung

Gehen Sie zu Einstellungen und Benutzer → Aktionsverlauf → Einstellungen und aktivieren Sie die Option — Aktionsverlauf in Syslog oder Windows-Ereignisprotokoll aufzeichnen:

Standardmäßig werden nach der Aktivierung alle Passwork-Ereignisse in einer lokalen Datei aufgezeichnet:

• DEB (Ubuntu, Debian) — /var/log/syslog
• RPM (CentOS, RedHat) — /var/log/messages
• Docker — /<passwork>/log/php/syslog
• Windows Server — Event Viewer-Konfiguration

warnung

Wenn die syslog-Datei auf DEB-basierten Linux-Servern fehlt, müssen Sie das Paket installieren — apt install syslog-ng -y

Jedes Ereignis enthält:

• Den Device-Wert (abhängig vom Client):
  • Weboberfläche — web;
  • Desktop-Anwendung — desktop;
  • Browsererweiterung — browser addon;
  • Mobile Anwendung — mobile;
  • API-Anfrage — api;
  • Vom System ausgeführte Aktion — internal.
• Event Code (Event ID) — ein eindeutiger Bezeichner der Aktion, zum Beispiel item_created;
• Severity — die Wichtigkeitsstufe des Ereignisses von 1 (niedrig) bis 10 (hoch);
• Description — Beschreibung der aufgetretenen Aktion.
• Zusätzliche Felder:
  • suid — ID des Benutzers, der die Aktion ausgeführt hat;
  • suser — Login des Benutzers, der die Aktion ausgeführt hat;
  • duid — ID des Benutzers, auf den die Aktion angewendet wurde;
  • duser — Login des Benutzers, auf den die Aktion angewendet wurde;
  • passworkIp — Client-IP-Adresse.

Ereignisstruktur:

CEF

CEF:Version|Device Vendor|Device Product|Device Version|Signature ID|Name|Severity|Extension

Die folgenden Ereignisse sind in Passwork implementiert und werden in der lokalen Datei aufgezeichnet — Ereignisliste

Ereignisse in stdout

Das Aktivitätsprotokoll kann in den stdout des Prozesses geschrieben werden. Beachten Sie, dass in PHP-FPM (der gängigsten Bereitstellungsform) Ereignisse in stderr geschrieben werden. Dieses Verhalten hängt mit der PHP-FPM-Architektur zusammen, die aus einem Master-Prozess und Worker-Prozessen besteht. Weitere Details finden Sie unter PHP-FPM-Protokollierung.

So konfigurieren Sie dies in PHP-FPM:

• Überschreiben Sie die Variable — ACTIVITY_LOG_OUTPUT=stdout;
• Aktivieren Sie die Erfassung der Worker-Ausgabe in PHP-FPM — catch_workers_output = yes;
• Setzen Sie den Wert von error_log in der PHP-FPM-Konfiguration auf stderr.