Как выгрузить журнал, скачать архив и проверить целостность

Когда использовать

Когда журнал нужен файлом: передать выборку событий во внешнюю систему, приложить срез к разбору инцидента, отдать проверяющему полный период. Сюда же относится работа с архивами — записями, вытесненными из таблицы журнала при автоархивации, — и запуск проверки хеш-цепочки, которая подтверждает, что журнал не правили.

Всё делается на экране Security Event Log: выгрузка и проверка — на вкладке Current events, архивы — на вкладке Archived events, настройки — в меню Actions.

Три операции решают три разные задачи, и подменять одну другой не стоит.

Задача	Что нажать	Что получаете
Разовый срез по фильтрам	CSV или JSON на вкладке Current events	файл в загрузках браузера, в кластере он не хранится
Записи за прошлые периоды	размер архива на вкладке Archived events	архивный файл .csv.gz из постоянного хранения
Доказательство, что журнал не правили	Verify integrity	проход по SHA-256 хеш-цепочке и отчёт о последней проверке

Чтение и фильтрация событий — в инструкции «Как читать журнал и фильтровать события», модель журнала — в «Журнале безопасности».

Предусловия

• глобальная роль уровня кластера — Cluster master или Security Admin. Привилегии по операциям: ExportSecurityLog — выгрузка, ViewSecurityArchive — список архивов, ExportSecurityArchive — скачивание архива, ViewSecurityArchiveSettings — чтение настроек архивации, VerifySecurityLog (id 10002) — запуск проверки. Правка настроек архивации (EditSecurityArchiveSettings, id 10006) открыта только роли Cluster master;
• версия vStack Center — 3.0.3;
• доступ к каталогу архивов на управляющем узле, если файл нужно забрать оттуда напрямую, минуя интерфейс.

Шаги

Шаг 1. Выгрузите события в файл

1. Откройте Sites → нужный кластер → в дереве навигации слева Security Event Log.

2. Останьтесь на вкладке Current events.

3. Сузьте выборку: задайте период кнопкой Select date и, если нужно, фильтры в панели с воронкой. Выгрузка уходит по тому же набору фильтров и периоду, который вы видите в таблице.

4. Нажмите CSV или JSON над таблицей — по нужному формату. Пока файл собирается, на кнопке крутится индикатор.

   

Готовый файл кластер отдаёт браузеру, и тот сохраняет его в загрузки. В самом кластере этот файл не остаётся: чтобы взять срез ещё раз, выгрузку нужно повторить.

Предел одной выгрузки — 100 000 записей. Если под фильтры попало больше, интерфейс не собирает файл, а сообщает, сколько записей в выборке, и просит сузить фильтры.

Шаг 2. Посмотрите список архивов

Автоархивация вытесняет старые записи журнала в сжатые CSV-файлы. Их показывает вкладка Archived events.

Колонка	Что показывает
Period	период, за который собран архив
Records	сколько записей в архиве
Size	размер файла; это же значение — кнопка скачивания
Checksum	контрольная сумма SHA-256; в ячейке видно начало суммы, полное значение — в подсказке, и оттуда же копируется
Created	когда архив был собран

Архив, который ещё формируется, в списке тоже виден, но без числа записей, суммы и времени, а вместо размера крутится индикатор. Скачивать такой файл рано.

Поиск Search in table ищет по всем пяти колонкам — им удобно находить архив за нужный период.

Шаг 3. Скачайте архив и проверьте его

Щёлкните размер файла в колонке Size — кластер сверит контрольную сумму и отдаст файл браузеру. Перед скачиванием скопируйте значение из колонки Checksum: это эталон для сверки.

Проверьте полученный файл на своей стороне — контрольная сумма и распаковка:

shasum -a 256 security_log_a3f1b2c4_03_01_2025.csv.gz
gunzip -t security_log_a3f1b2c4_03_01_2025.csv.gz && echo "архив целый"

Сумма должна совпасть со значением из колонки Checksum. В отличие от выгрузки, архив после скачивания остаётся в каталоге хранения на управляющем узле — его можно забрать повторно.

Шаг 4. Включите или выключите автоархивацию

Переключатель Autoarchiving стоит над таблицей вкладки Current events. Положение ON — вытеснение старых записей включено, OFF — выключено; рядом с выключенным переключателем интерфейс показывает предупреждение.

Выключенная автоархивация означает, что таблица журнала растёт без вытеснения и новые архивы не появляются. Следите за свободным местом сами.

После переключения появляется сообщение о новом состоянии автоархивации, а список событий перечитывается.

Шаг 5. Поправьте настройки архивации

1. Нажмите Actions над таблицей и выберите Archive settings.
2. Заполните поля формы:

Поле	Что задаёт	Границы
Max log size (MB)	порог размера таблицы журнала, после которого срабатывает вытеснение	от 10 МБ до 16 ГБ, то есть от 10 до 16384
Disk space alert threshold (MB)	порог свободного места, ниже которого кластер предупреждает	не меньше 100
Archive path	каталог хранения архивов	длина 1–256 символов

3. Нажмите Save.

Оба размера задаются в мегабайтах — форма сама переводит их в единицы кластера. Кнопка Save остаётся неактивной, пока в форме ничего не изменилось или пока значение не прошло проверку. После сохранения появляется сообщение «Archive settings updated».

Пункт Archive settings в меню Actions есть только у роли Cluster master: Security Admin настройки видит, но не меняет.

Шаг 6. Запустите проверку хеш-цепочки

1. На вкладке Current events нажмите Verify integrity над таблицей.
2. В окне подтверждения прочитайте, что будет запущена проверка SHA-256 хеш-цепочки всего журнала, и нажмите Start. Отказаться — Cancel.

Проверка идёт в фоне: кластер делит журнал на части и проверяет их одновременно. Пока она идёт, на кнопке Verify integrity стоит процент выполнения, а сама кнопка не принимает повторное нажатие — одновременно в кластере идёт только одна проверка. Держать экран открытым не нужно: итог проверки останется в отчёте о последней проверке.

Шаг 7. Прочитайте результат проверки

Когда проверка закончилась, появляется сообщение «Проверка целостности завершена», а рядом с кнопкой встаёт отчёт Last verify integrity — время последней проверки и её итог.

Что в отчёте	Что это значит
зелёная отметка и число записей	цепочка целая, проверены все записи журнала
красная отметка и ID записи	цепочка нарушена на этой записи; щелчок по номеру открывает её карточку
значок с подсказкой «Verification failed»	проверка не дошла до конца; запустите её заново

Разбор при нарушенной цепочке начинайте с той записи, номер которой стоит в отчёте: до неё журнал сходится, на ней связь рвётся.

Проверка результата

Выгрузка: файл появился в загрузках браузера и открывается, а число строк в нём соответствует счётчику записей под таблицей.

Архив: контрольная сумма скачанного файла совпала со значением колонки Checksum, а gunzip -t прошёл без ошибок.

Проверка цепочки: на кнопке Verify integrity больше нет процента, в отчёте Last verify integrity стоят время, зелёная отметка и число проверенных записей. Красная отметка с номером записи означает обратное — цепочка нарушена.

Если не получилось

Выгрузка не запускается: в выборке больше 100 000 записей. Интерфейс сообщает, сколько записей попало в выборку, и просит сузить фильтры. Обход — сузить период или категорию и забирать журнал частями, а за старыми периодами идти в архивы. Тот же предел кластер держит и для обращений мимо интерфейса — отказ -24001.

Файл выгрузки не собрался, ошибка записи (-24002). На управляющем узле не удалось записать файл, частая причина — нет свободного места. Проверьте место на узле и порог Disk space alert threshold (MB) в настройках архивации.

Архив не скачался: файл не найден (-24003). Список архивов устарел — файл уже убрали из каталога хранения. Обход — обновить вкладку Archived events и скачивать архив из свежего списка.

Архив не отдаётся: контрольная сумма не совпала (-24004). Кластер сверяет SHA-256 до выдачи и отказался отдавать файл: архив на диске повреждён. Такой файл не «лечится» — забирайте нужный период выгрузкой из таблицы журнала, если записи ещё в ней, и разбирайтесь с носителем.

Размер архива не нажимается, вместо него крутится индикатор (-24008). Архив ещё формируется: у него нет числа записей, суммы и времени сборки. Обход — дождаться, пока поля появятся, и повторить скачивание.

Настройки архивации не сохраняются (-24006, -24007). Значение вне границ: размер журнала вне диапазона от 10 до 16384 МБ, порог свободного места меньше 100 МБ, слишком длинный путь. Обход — свериться с таблицей границ из шага 5. Кнопка Save до исправления остаётся неактивной.

Кнопка Verify integrity не нажимается (-11201). Проверка цепочки уже идёт, вторую кластер не запускает. Обход — дождаться её завершения: процент на кнопке показывает прогресс.

В меню Actions нет пункта Archive settings. У роли нет привилегии на правку настроек архивации — она открыта только Cluster master.

Скачанный .csv.gz не распаковывается, а его размер больше, чем в колонке Size. Это отдельный случай — повреждение архива при выгрузке через интерфейс. Разбор и обход: «Скачанный архив журнала безопасности не открывается».

Методы API

Операции этой страницы в API: security-event-export, security-event-archive-list, security-event-archive-export, security-event-archive-settings-get, security-event-archive-settings-set, security-event-log-verify, security-event-log-status, security-verification-statuses — см. Справочник API.

См. также

• Журнал безопасности — хеш-цепочка, статусы проверки, настройки архивации.
• Как читать журнал и фильтровать события — фильтры, из которых собирается выгрузка.
• Скачанный архив журнала безопасности не открывается — разбор повреждённого файла архива.
• Роли и привилегии — привилегии выгрузки, архивов и проверки.