[an error occurred while processing this directive]

13-0 Просмотр системных событий

Что такое системные события ?

Событиями являются сообщения межсетевого экрана более высокого уровня, т.е. не связанные напрямую с пакетами (как в случае статистики). К событиям относятся сообщения, которые генерируются одним из трех главных модулей (пакетным фильтром, транслятором сетевых адресов или модулем шифрования/аутентификации) или каким-либо другим компонентом межсетевого экрана, таким, например, как proxy сервер или каким-нибудь процессом ( при выполнении специфических задач).

При этом генерируются сообщеня с различными уровнями важности, начиная от полезной для контроля функционирования системы информации (например,сообщения о рестарте машины или об установлении сеанса администрирования межсетевого экрана), до информации об ошибках в при выполнении или в настройках.

Что такое фильтр событий ?

Чаще всего необходимо просмотреть выборку по определенному множеству событий, а не всю собираемую информацию(например, если Вы хотите просмотреть все вчерашние сообщения). Фильтр событий является одним из механизмов межсетевого экрана Aker, позволяющий описать и просмотреть только необходимое Вам подмножество информации.

Фильтр разрешает только просматривать записанную в файле событий информацию. Для получения более специфической информации необходимо сначала настроить систему для ее сбора, а затем использовать фильтр для ее просмотра.

13-1 Использование графического интерфейса пользователя

Для доступа к окну просмотра событий нужно выполнить следующие действия:


Окно фильтрации событий

При выборе опции События автоматически высвечивается окно Фильтрация событий . Это окно позволяет выбрать используемый для просмотра фильтр. Оно имеет следующий формат:

В верхней части окна расположены кнопки Сохранить и Удалить. Кнопка Сохранить позволяет сохранить поля фильтра в нужном порядке для дальнейшего использования и кнопка Удалить позволяет удалить сохраненные ранее фильтры.

Для сохранения фильтра статистики необходимо:

  1. Заполнить необходимые поля.
  2. Ввести в поле Фильтры имя сохраняемого фильтра
  3. Нажать кнопку Сохранить.

Для использования сохраненного фильтра необходимо выбрать его имя в поле Фильтры и все поля будут автоматически заполнены сохраненными данными.

Для удаления фильтра необходимо:

  1. Задать имя фильтра в поле Фильтры.
  2. Нажать кнопку Удалить.

По умолчанию фильтр настроен для показа сообщений текущего дня. Чтобы увидеть сообщения за другие дни, необходимо настроить поля Начальная дата и Конечная дата, описав с их помощью интересующий Вас диапазон (он будет содержать сообщения от начальной до конечной даты включительно).

Кроме этих полей, существуют и другие опции, которые можно применять в разных комбинациях, чтобы еще больше ограничить круг выводимой для просмотра информации:

Приоритет:

Различные типы сообщений имеют различные приоритеты. Высший приоритет присваивается ниболее важным из них. В приведенном ниже списке описываются все возможные приоритеты в порядке убывания их важности. (Если межсетевой экран настроен для посылки копии данных регистрации через syslog, то будут генерироваться сообщения с указанными ниже приоритетами.):

При задании конкретного приоритета на экране будут показаны сообщения только с этим приоритетом.

Будут показаны сообщения с любым приоритетом Сообщения с таким приоритом содержат информацию о какой-либо ошибке в конфигурации или действиях системы (например, отказ памяти). Сообщения с таким приоритом достаточно редки и на них следует реагировать как можно быстрее. Сообщения с таким приоритом свидетельствуют о возникновении серьезных нештатных ситуаций (например, во время установления сеанса удаленного администрирования возникла ошибка авторизации пользователя). Этот приоритет включает сообщения, в которых содержится информация, важная для системного администратора, но при этом не выходящая за рамки номального процесса функционирования (например, администратор начал сеанс удаленного администрирования). Сообщения с этим приоритетом содержат полезную информацию, но не столь важную для администрирования межсетевого экрана, как предыдущие (например, закончился сеанс удаленного администрирования). Сообщения с этим приоритом не содержат важной информации, кроме необходимой для аудита. Сюда относятся, например, сообщения, которые генерируются модулем удаленного администрирования при каждой сделанной модификации в конфигурации межсетевого экрана или при его рестарте.

Модуль:

Эта опция позволяет увидеть сообщения, которые генерируются каким-либо из трех главных модулей системы или любым внешним сервером. При выборе конкретного модуля будут показаны только относящиеся к нему сообщения.

Кнопка Да накладывает описанный фильтр и открывает окно событий с выборкой соответствующей фильтру информации.

Кнопка Отменить отменяет операцию фильтрации и в полях окна событий появляется предыдущая информация. Кнопка Помощь выводит окно подсказки по данному разделу.

Окно событий

Окно событий открывается после наложения нового фильтра. Оно состоит из списка сообщений. Обычно каждая строка списка соответствует отдельному сообщению, но некоторые сообщения могут занимать две строки. Формат сообщений рассмотрен в следующем разделе.

Важные замечания:

Синий      Отладка
Зеленый   Информация
Желтый   Замечание
Красный  Предупреждение
Черный    Ошибка
Значения кнопок в окне событий
Нажмите Да чтобы стереть все события или Нет для отказа от операции.

При стирании содержимого файла событий воостановить его можно только с резервной копии.

Если нажать эту кнопку, откроется следующее окно:
Эта опция очень полезна для отправки копии событий другому лицу или для сохранения копии некоторых важных данных в текстовом формате. Если нажать эту кнопку, появится следующее окно:
Для экспортирования сообщений о событиях, введите имя создаваемого файла и нажмите кнопку Сохранить, для отмены операции нажмите кнопку Отменить.

Если существует файл с таким же именем, он будет переписан.

13-2 Формат и значения полей сообщений о событиях

Ниже описан формат сообщений и приводится описание их полей. Полный список всех возможных сообщений и их значений содержится в Приложении А

Формат записи:

<Date> <Time> <Message> [(Complement)]
[<Additional Data>]

Описание полей:

Date: Дата генерации записи.
Time: Время генерации записи.
Message: Текстовое сообщения, описывающее событие
(Complement): Это поле вносит некоторую дополнительную информацию и может присутствовать или нет, что зависит от характера сообщения. Если оно присутствует, то указывается в скобках.
Additional data: Информация в этом поле связана с сообщениями от proxy серверов. Она всегда появляются в строке под соответствующим сообщением. Она содержит адрес источника соединения и, в случае прозрачного proxy сервера, адрес назначения.

Примеры:

02/26/1998 13:27:11 Aker Firewall v3.01 - Initialization complete
02/26/1998 13:30:32 Telnet session established (user)
                    Source: 10.2.1.12 - Destination: 192.168.0.3
02/26/1998 12:48:23 Administrative session confirmation error (administrator)
02/26/1998 12:48:23 Administrative connection request (10.4.1.14)

13-3 Использование интерфейса командной строки

Интерфейс командной строки для просмотра событий обладает теми же возможностями, что и графический интерфейс. Доступны все его функции за исключением опции фильтрации для модуля; кроме того, интерфейс командной строки не показывает дополнительную информацию, которую выводит на дисплей графический интерфейс при выделении сообщения о событии.

Интерфейс командной строки для просмотра событий - это та же программа, что используется для просмотра статистики. Она рассмотрена в предыдущей главе.

Путь к программе: /etc/firewall/fwlog

Синтаксис:

fwlog help
fwlog [compact | clear] [log | events]
fwlog show [log | events] <begin_date> <end_date> [priority]
Program help:
Aker Firewall - Version 3.01
fwlog - интерфейс командной строки для просмотра статистики и событий
Использование: fwlog help
       fwlog [compact | clear] [log | events]
       fwlog show [log | events] <begin_date> <end_date> [priority]

       show       = показывает содержимое файла статистики или событий
       clear      = очищает  файлы статистики им событий от записей
       compact    = уплотняет файл статистики или событий
       help       = показывает данное сообщение

Для команд compact / clear / show :
       log        = действие выполняется с файлом статистики
       events     = действие выполняется с файлом событий

Для команды show:
       begin_date = дата, начиная с которой будут показаны записи
       end_date   = дата, по которую будут показаны записи 
                    (даты должны иметь формат mm/dd/yyyy)
       priority   = необязательный аргумент. Если он задан, он может 
      принимать следующие значения: ERROR, WARNING, NOTICE, INFORMATION или DEBUG. 
       (Если приоритет задан, будут показаны записи только с этим приоритетом)
Пример 1: (просмотр событий с 03/07/1998 по 03/08/1998)
#fwlog show events 03/07/1998 03/08/1998

03/08/1998 11:39:35 Administrative session closed
03/08/1998 09:13:09 Administrative session established (administrator, CF CL MU)
03/08/1998 09:13:09 Administrative session request (10.4.1.14)
03/08/1998 09:09:49 Operation on the log file (Compact)
03/07/1998 10:27:11 Aker Firewall v3.01 - Initialization complete
03/07/1998 08:57:11 UDP translation table full
Пример 2: (Просмотр событий с 03/07/ 1998 по 03.08.1998 с приоритетом debug)
#fwlog show events 03/07/1998 03/08/1998 debug

03/08/1998 09:09:49 Operation on the log file (Compact)
03/07/1998 10:27:11 Aker Firewall v3.01 - Initialization complete
Пример 3: (Очистка содержимого файла событий)
#fwlog clear events
[an error occurred while processing this directive]