ownCloud Enterprise 감사 설정 및 로그 검증

ownCloud Enterprise에서 사용자 및 관리자 활동을 기록하려면 Enterprise 전용 감사 앱을 설치하고 활성화한 다음, admin_audit관리자가 보호하고 검토할 수 있는 파일로 로그 메시지를 전송하도록 설정해야 합니다. 앱을 활성화하는 것은 필수적이지만, 그 자체만으로는 충분하지 않습니다. 별도의 로그 조건에서 감사 메시지를 별도의 파일로 전송하지 않는 한, ownCloud 서버의 로그 수준을 1(정보) 또는 0(디버그)으로 설정해야 합니다.

어떤 "활동 로그"가 필요한지 알아두세요

활동 앱과 감사 앱은 서로 다른 용도로 사용됩니다. 활동 앱은 파일 및 공동 작업 이벤트를 사용자에게 보여주는 스트림입니다. 엔터프라이즈 감사 앱은 운영 검토 및 분석을 위해 선택된 사용자 및 관리자 작업을 구조화된 로그 항목으로 기록합니다. 활동 앱을 설치하거나 구성하는 것만으로는 엔터프라이즈 감사 추적이 활성화되지 않습니다. 로그인, 파일 작업, 공유 변경, 사용자 관리, 앱 변경 또는 OCC 명령에 대한 추적 가능한 기록이 필요한 경우 감사 앱을 활성화해야 합니다. 현재 ownCloud Server 11 감사 관련 문서 에는 이러한 이벤트 범주가 나열되어 있습니다.

확인됨: 해당 앱은 엔터프라이즈 전용이며 ownCloud 마켓플레이스를 통해 이용할 수 있습니다. 상황에 따라 다름: 정확한 앱 관리 화면과 구성 방법은 ownCloud 릴리스 및 배포 버전에 따라 다릅니다. 조치: 앱 목록이 누락된 문제를 해결하기 전에 서버 버전과 엔터프라이즈 구독에 해당 앱이 포함되어 있는지 확인하십시오. ownCloud 감사 기능 페이지 에서도 해당 앱이 엔터프라이즈 기능임을 확인할 수 있습니다.

ownCloud에서 감사 기능을 활성화합니다.

1. 앱이 설치되어 있는지 확인하십시오. ownCloud 앱 설정에서 감사(Auditing)를 찾으십시오. ownCloud 10.16 공식 가이드에서는 마켓플레이스에서 다운로드하여 앱 설정에서 활성화하라고 안내하고 있으며, ownCloud 11 설명서에서는 해당 위치에서 앱을 활성화하라고 안내하고 있습니다. 감사 기능이 없는 경우, 패키지를 설치하기 전에 엔터프라이즈 권한, 마켓플레이스 액세스 권한 및 서버 버전에 대한 앱 호환성을 확인하십시오.
2. 앱을 활성화하십시오. 관리자 권한으로 앱 설정에 접속하여 감사 기능이 활성화되어 있는지 확인하십시오. 배포 환경 및 버전에 따라 명령줄 관리자는 다음 명령어를 사용하여 앱 상태를 확인할 수도 있습니다 . occ app:list설치된 환경에서 지원하는 occ명령어를 사용하십시오. 웹 인터페이스의 활동 피드가 표시된다고 해서 감사 앱이 활성화되어 있다고 단정해서는 안 됩니다.
3. 감사 항목이 저장될 위치를 선택하십시오. 빠른 확인을 위해 ownCloud는 표준 로그 파일에 감사 항목을 기록할 수 있습니다 owncloud.log. 지속적인 운영을 위해서는 별도의 제한된 감사 파일을 생성하여 로그 수집기로 전송하고 독립적으로 검토하는 것이 더 편리합니다.
4. 유효한 로그 레벨 또는 전용 경로를 설정하세요. 감사 이벤트를 표준 로그에 기록하려면 일반 로그 레벨을 1 또는 0으로 유지하세요. 또는 앱 ID에 대한 조건을 추가하여 admin_audit전용 파일에 기록하도록 설정할 수도 있습니다. 구문은 ownCloud 11을 Docker 환경에서 사용하는지 또는 PHP 10.16 설치 환경에서 사용하는지에 따라 다릅니다.
5. 무해한 테스트 이벤트를 생성하고 검증하십시오. 로그인하거나 임시 테스트 파일을 생성한 다음, 선택한 로그 대상 위치에서 새 감사 항목이 있는지 확인하고 나서야 해당 구성을 신뢰할 수 있습니다.

감사 기록을 별도의 파일로 저장합니다.

Docker에서 ownCloud 서버 11 실행

현재 ownCloud 11 가이드에는 OWNCLOUD_LOG_CONDITIONS환경 변수에 대한 설명이 있습니다. 해당 변수를 ownCloud 서비스의 Compose 환경에 추가하고 파일 경로를 컨테이너 내에서 사용 가능한 영구 위치로 조정하십시오.

OWNCLOUD_LOG_CONDITIONS=[{"apps":["admin_audit"],"loglevel":0,"logfile":"/mnt/data/files/admin_audit.log"}]

이 예제에서는 ownCloud에서 제공하는 Docker 데이터 마운트 경로를 사용합니다. YAML에 추가할 때 JSON 값이 유효한지 확인하고, 컨테이너 교체 시 로그가 삭제되지 않도록 배포의 영구 마운트 볼륨을 사용하십시오. 일반적인 배포 프로세스를 사용하여 Compose 변경 사항을 적용한 다음 서비스가 시작되고 파일이 생성되었는지 확인하십시오. Server 11 감사 가이드 에 따르면 별도의 조건은 전역 로그 수준과 관계없이 감사 메시지를 기록합니다 .

ownCloud 서버 10.16 PHP 설치

ownCloud에서 제공하는 10.16 PHP 기반 구성의 경우, log.conditions활성 config.php파일에 항목을 추가하고 샘플 경로를 바꾸십시오. 웹 서버 사용자는 대상 파일과 해당 디렉터리에 쓰기 권한이 있어야 합니다.

'log.conditions' => [
    [
        'apps' => ['admin_audit'],
        'logfile' => '/var/www/owncloud/data/admin_audit.log'
    ]
],

편집하기 전에 백업하고 config.php, 이미 존재하는 키가 있는 경우 중복 키를 생성하지 마십시오 log.conditions. 변경 후 PHP 구문과 파일 권한을 확인하십시오. 10.16 PHP 배열을 Docker 환경 변수에 복사하거나 Server 11 JSON 환경 값을 PHP 구성 파일에 복사하지 마십시오. 이들은 서로 다른 배포 인터페이스입니다. 자세한 내용은 ownCloud 10.16 감사 지침을 참조하십시오 .

감사 추적 기록이 입증하는 것과 입증하지 못하는 것

검증됨: 기록된 이벤트에는 로그인 및 로그아웃, 파일 생성/삭제/이동 작업, 공유 변경, 태그, 댓글, 사용자 및 그룹 관리, 사용자 설정, 가장, 앱 활성화, OCC 실행 등이 포함됩니다. 항목에는 이벤트별 필드가 포함되어 있으며 분석에 적합하도록 구조화되어 있습니다. ownCloud는 JSON 호환 레코드와 Splunk와 같은 통합 기능을 제공합니다. 조치: 팀에서 감사해야 하는 범주에서 테스트 이벤트를 생성하고 예상되는 사용자, 작업, 시간 및 파일 컨텍스트가 표시되는지 확인합니다.

오해: 감사 기능을 활성화하면 별도의 admin_audit.log파일이 자동으로 생성되는 것으로 오해할 수 있습니다. 그렇지 않습니다. 별도의 저장 위치를 ​​설정하지 않으면 기본적으로 ownCloud 표준 로그 파일에 파일이 저장됩니다. 조치: 앱의 활성화 상태에 의존하지 말고 실제 파일 경로와 볼륨을 확인하십시오.

제한 사항: 이벤트 로그 자체는 완벽한 규정 준수 프로그램이나 맞춤형 배포의 모든 작업이 기록된다는 보장을 제공하지 않습니다. 사용 가능한 이벤트, 앱 버전, 필터, 로그 수준 및 보존 제어에 따라 검토 가능한 내용이 달라집니다. 조치 사항: 이벤트 적용 범위를 정책과 비교하고, 보존 및 접근 제어를 결정하고, 독립적인 보존이 필요한 경우 중요한 기록을 적절하게 보안된 중앙 로깅 시스템으로 전달하십시오. 이 마지막 제어 권장 사항은 운영상의 안전장치이며, ownCloud 앱 설명서는 이벤트 로깅 및 통합에 대한 설명일 뿐 특정 구성이 법적 요구 사항을 충족한다는 인증은 아닙니다.

접근 권한 및 지속적인 정보 수집을 확인합니다.

테스트 이벤트가 발생한 후, 감사 파일이 서비스 재시작이나 컨테이너 교체 후에도 유지되는지, 승인된 관리자와 로그 수집기만 해당 파일을 읽을 수 있는지, 그리고 로그 순환으로 인해 앱의 로그 쓰기 기능이 손상되지 않는지 확인하십시오. 표준 로그를 사용하는 경우 ownCloud 관리자 페이지에서 "로그 파일 다운로드" 옵션을 제공합니다. 별도의 파일로 구성된 경우, 설명서에 따라 해당 파일을 수동으로 가져오십시오. 이벤트 타임스탬프, 액터, 액션 및 경로를 최종 확인 기준으로 기록하고, 업그레이드 또는 로깅 구성 변경 후 로그를 다시 검토하십시오.